这是一篇Spring Security入门的博文,将整合Spring Boot快速入门Spring Security。实现基本的认证、授权、密码加密功能
认证:也就是我们平时所说的登录,但认证不局限于账号密码登录,扫码、人脸识别、指纹等都可以算是认证
授权:不同的人拥有不同的权限,比如在后台管理系统中,管理员和普通用户看到的菜单是不一样的、有些资源普通用户只有读权限没有写权限等
密码加密:我们数据库中保存的密码一般都是加密后的密文,避免数据泄露造成巨大损失
Spring Security简介
Spring Securiity简单来说就是一个安全框架,它可以帮助我们快速、容易的实现认证、授权的相关功能。
Spring Security快速入门
话不多说,直接上代码快速入门
- 添加依赖
<dependencies>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
</dependencies>
2、准备资源
@RestController
public class ResourceController {
@GetMapping("r/r1")
public String r1() {
return "访问资源r1";
}
@GetMapping("r/r2")
public String r2() {
return "访问资源r2";
}
@GetMapping("annoy")
public String annoy(){
return "允许匿名访问的资源";
}
}
其实在我们导入Spring Security依赖的那一刻起,Spring Security就已经生效了,这时候不管我们访问什么资源,它都会给我们跳转到它默认的登录页面:
Spring Security提供了一个默认的用户user,密码是随机的,在项目启动时,会在控制台中打印:
但我们一般不会使用它这个默认的,现在我们思考一下,如果我们是Spring Security要帮助用户实现授权认证功能,哪些是功能是我们可以帮忙做的,哪些是需要用户提供的?
用户名密码的比对是不是Spring Security可以帮忙做的?但要比对密码,Spring Security是不是应该要根据用户名去查到用户真实的密码?所以如何根据用户名查到用户信息需要我们告诉Spring Security。
判断是否有权限访问某个资源,也是Spring Security可以做的,但是需要用户告诉我们资源需要什么权限,以及用户拥有哪些权限。
Spring Security提供了一个抽象类WebSecurityConfigurerAdapter,我们继承它,可以定义资源的授权规则:
package com.fcp.security.quickStart.config;
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
// 告诉Spring Security资源的授权规则
// 该方法默认是请求所有的资源都需要认证,并且是用表单登录认证(可以去看父类实现)
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers("/r/r1").hasAuthority("p1") // r/r1资源需要有p1权限
.antMatchers("/r/r2").hasAuthority("p2") // r/r2资源需要有p2权限
// 告诉Spring Security所有以/r开头的请求,都需要认证后才能访问
.antMatchers("/r/**").authenticated() //②
// 其他的所有请求都可以直接访问
.anyRequest().permitAll();
// 使用表单登录认证
http.formLogin();
}
// 定义一个密码加密器。为了安全起见,我们的密码一般都会存储加密后的密文。定义了密码加密器后,Spring Security会将前端传递的密码进行加密后,再与数据库中的密码进行比对。
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
}
在configure方法中,我们告诉了Spring Security我们的资源的授权规则,需要注意的它的匹配规则是从上到下的,是否允许访问,取决于第一条匹配的规则是否通过。如资源/r/r1匹配的规则有俩条,一个是需要有p1权限,一个是需要认证后才能访问,但因为p1权限的规则写在前面,所以真正取决定作用的是是否有p1权限。反之,如果你将认证的规则写在前面,就意味着,只要登录了,就可以访问所有/r开头的资源。所以我们一般都将粒度大的规则放在后面,粒度小的放前面。
接下来定义一个UserService实现UserDetailsService接口。告诉Spring Security如何根据用户名获取用户信息。
@Service
public class UserService implements UserDetailsService {
private List<User> userList;
@Autowired
private PasswordEncoder passwordEncoder;
// 初始化数据,模拟数据库
@PostConstruct
public void initData() {
// 加密后,存储到"数据库"
String password = passwordEncoder.encode("123");
userList = new ArrayList<>();
userList.add(new User("xiaowang", password, AuthorityUtils.commaSeparatedStringToAuthorityList("p1,p2")));
userList.add(new User("xiaoming", password, AuthorityUtils.commaSeparatedStringToAuthorityList("p2")));
}
// Spring Security会调用这个方法,根据username获取到用户信息。
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
List<User> findUserList = userList.stream().filter(user -> user.getUsername().equals(username)).collect(Collectors.toList());
if (!CollectionUtils.isEmpty(findUserList)) {
return findUserList.get(0);
} else {
throw new UsernameNotFoundException("用户名或密码错误");
}
}
}
到这里我们的快速入门就完成了,是不是很简单。接下来就是测试了,测试用例如下:
- 使用小王账号登录,可以访问所有资源
- 使用小明账号登录,由于没有p1权限,所以不能访问/r/r1资源,报403错误
- 如果不登陆,只能访问匿名资源
简单总结一下步骤:
- 导入依赖
- 继承WebSecurityConfigurerAdapter,配置资源访规则
- 声明PasswordEncoder Bean
- 实现UserDetailsService,告诉Spring Security如何根据用户名找到用户信息
UserDetailsService
UserDetailsService是Spring Security提供给我们的一个扩展点。通过上面的入门案例,我们已经知道了它的作用。其实Spring Security也为我们提供了几个实现类。
其中InMemoryUserDetailsManager
也是基于内存的,所以其实我们不需要自己实现UserDetailsService,直接使用InMemoryUserDetailsManager
即可:
@Bean
protected UserDetailsService userDetailsService() {
String password = passwordEncoder.encode("123");
InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
manager.createUser(User.withUsername("xiaowang").password(password).authorities("p1").build());
manager.createUser(User.withUsername("xiaoming").password(password).authorities("p2").build());
return manager;
}
在入门案例中,我们那么写,是为了更好的理解。你们也可以自己看看InMemoryUserDetailsManager
的实现,主要看它如何实现loadUserByUsername
方法的,很简单,相信看完后你会有更进一步的理解。
至于如何连接数据库,看这篇文章Spring Security连接数据库
基于注解的权限控制
除了在config进行权限控制,我们也可以基于注解进行方法级别的权限控制(也可以是类级别),轻松的完成细粒度的权限控制,也能方便的知道当前的资源需要哪些权限。
使用方式非常简单。
- 先注释掉我们之前在configure中配置的资源权限控制规则
- 在配置类中添加@EnableGlobalMethodSecurity注解
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
- 在我们的方法或类上使用@PreAuthorize注解
@RestController
public class ResourceController {
@GetMapping("r/r1")
@PreAuthorize("hasAuthority('p1')")
public String r1() {
return "访问资源r1";
}
@GetMapping("r/r2")
@PreAuthorize("hasAuthority('p2')")
public String r2() {
return "访问资源r2";
}
// 只有匿名用户才能访问的资源
@GetMapping("annoy")
@PreAuthorize("isAnonymous()")
public String annoy(){
return "只允许匿名访问的资源";
}
}