Spring Security整合Spring Boot快速入门

这是一篇Spring Security入门的博文，将整合Spring Boot快速入门Spring Security。实现基本的认证、授权、密码加密功能
认证：也就是我们平时所说的登录，但认证不局限于账号密码登录，扫码、人脸识别、指纹等都可以算是认证
授权：不同的人拥有不同的权限，比如在后台管理系统中，管理员和普通用户看到的菜单是不一样的、有些资源普通用户只有读权限没有写权限等
密码加密：我们数据库中保存的密码一般都是加密后的密文，避免数据泄露造成巨大损失

Spring Security简介

Spring Securiity简单来说就是一个安全框架，它可以帮助我们快速、容易的实现认证、授权的相关功能。

Spring Security快速入门

话不多说，直接上代码快速入门

1. 添加依赖

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
</dependencies>

2、准备资源

@RestController
public class ResourceController {
    @GetMapping("r/r1")
    public String r1() {
        return "访问资源r1";
    }

    @GetMapping("r/r2")
    public String r2() {
        return "访问资源r2";
    }

    @GetMapping("annoy")
    public String annoy(){
        return "允许匿名访问的资源";
    }
}

其实在我们导入Spring Security依赖的那一刻起，Spring Security就已经生效了，这时候不管我们访问什么资源，它都会给我们跳转到它默认的登录页面：

Spring Security提供了一个默认的用户user，密码是随机的，在项目启动时，会在控制台中打印：

但我们一般不会使用它这个默认的，现在我们思考一下，如果我们是Spring Security要帮助用户实现授权认证功能，哪些是功能是我们可以帮忙做的，哪些是需要用户提供的？

用户名密码的比对是不是Spring Security可以帮忙做的？但要比对密码，Spring Security是不是应该要根据用户名去查到用户真实的密码？所以如何根据用户名查到用户信息需要我们告诉Spring Security。

判断是否有权限访问某个资源，也是Spring Security可以做的，但是需要用户告诉我们资源需要什么权限，以及用户拥有哪些权限。

Spring Security提供了一个抽象类WebSecurityConfigurerAdapter，我们继承它，可以定义资源的授权规则：

package com.fcp.security.quickStart.config;

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    // 告诉Spring Security资源的授权规则
    // 该方法默认是请求所有的资源都需要认证，并且是用表单登录认证（可以去看父类实现）
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/r/r1").hasAuthority("p1")    // r/r1资源需要有p1权限
                .antMatchers("/r/r2").hasAuthority("p2")    // r/r2资源需要有p2权限
                // 告诉Spring Security所有以/r开头的请求，都需要认证后才能访问
                .antMatchers("/r/**").authenticated() //②
                // 其他的所有请求都可以直接访问
                .anyRequest().permitAll();          

        // 使用表单登录认证
        http.formLogin();
    }

	// 定义一个密码加密器。为了安全起见，我们的密码一般都会存储加密后的密文。定义了密码加密器后，Spring Security会将前端传递的密码进行加密后，再与数据库中的密码进行比对。
	@Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在configure方法中，我们告诉了Spring Security我们的资源的授权规则，需要注意的它的匹配规则是从上到下的，是否允许访问，取决于第一条匹配的规则是否通过。如资源/r/r1匹配的规则有俩条，一个是需要有p1权限，一个是需要认证后才能访问，但因为p1权限的规则写在前面，所以真正取决定作用的是是否有p1权限。反之，如果你将认证的规则写在前面，就意味着，只要登录了，就可以访问所有/r开头的资源。所以我们一般都将粒度大的规则放在后面，粒度小的放前面。

接下来定义一个UserService实现UserDetailsService接口。告诉Spring Security如何根据用户名获取用户信息。

@Service
public class UserService implements UserDetailsService {
    private List<User> userList;
    @Autowired
    private PasswordEncoder passwordEncoder;

	// 初始化数据，模拟数据库
    @PostConstruct
    public void initData() {
    	// 加密后，存储到"数据库"
        String password = passwordEncoder.encode("123");
        userList = new ArrayList<>();
        userList.add(new User("xiaowang", password, AuthorityUtils.commaSeparatedStringToAuthorityList("p1,p2")));
        userList.add(new User("xiaoming", password, AuthorityUtils.commaSeparatedStringToAuthorityList("p2")));
    }

	// Spring Security会调用这个方法，根据username获取到用户信息。
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        List<User> findUserList = userList.stream().filter(user -> user.getUsername().equals(username)).collect(Collectors.toList());
        if (!CollectionUtils.isEmpty(findUserList)) {
            return findUserList.get(0);
        } else {
            throw new UsernameNotFoundException("用户名或密码错误");
        }
    }
}

到这里我们的快速入门就完成了，是不是很简单。接下来就是测试了，测试用例如下：

1. 使用小王账号登录，可以访问所有资源
2. 使用小明账号登录，由于没有p1权限，所以不能访问/r/r1资源，报403错误
3. 如果不登陆，只能访问匿名资源

简单总结一下步骤：

1. 导入依赖
2. 继承WebSecurityConfigurerAdapter，配置资源访规则
3. 声明PasswordEncoder Bean
4. 实现UserDetailsService，告诉Spring Security如何根据用户名找到用户信息

UserDetailsService

UserDetailsService是Spring Security提供给我们的一个扩展点。通过上面的入门案例，我们已经知道了它的作用。其实Spring Security也为我们提供了几个实现类。

其中InMemoryUserDetailsManager也是基于内存的，所以其实我们不需要自己实现UserDetailsService，直接使用InMemoryUserDetailsManager即可：

   @Bean
    protected UserDetailsService userDetailsService() {
        String password = passwordEncoder.encode("123");
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        manager.createUser(User.withUsername("xiaowang").password(password).authorities("p1").build());
        manager.createUser(User.withUsername("xiaoming").password(password).authorities("p2").build());
        return manager;
    }

在入门案例中，我们那么写，是为了更好的理解。你们也可以自己看看InMemoryUserDetailsManager的实现，主要看它如何实现loadUserByUsername方法的，很简单，相信看完后你会有更进一步的理解。

至于如何连接数据库，看这篇文章Spring Security连接数据库

基于注解的权限控制

除了在config进行权限控制，我们也可以基于注解进行方法级别的权限控制（也可以是类级别），轻松的完成细粒度的权限控制，也能方便的知道当前的资源需要哪些权限。

使用方式非常简单。

1. 先注释掉我们之前在configure中配置的资源权限控制规则
2. 在配置类中添加@EnableGlobalMethodSecurity注解

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

3. 在我们的方法或类上使用@PreAuthorize注解

@RestController
public class ResourceController {
 	@GetMapping("r/r1")
    @PreAuthorize("hasAuthority('p1')")
    public String r1() {
        return "访问资源r1";
    }

    @GetMapping("r/r2")
    @PreAuthorize("hasAuthority('p2')")
    public String r2() {
        return "访问资源r2";
    }

    // 只有匿名用户才能访问的资源
    @GetMapping("annoy")
    @PreAuthorize("isAnonymous()")		
    public String annoy(){
        return "只允许匿名访问的资源";
    }
}