项目总结：认证授权

---

前言

会议发布后用户通过页面进行查看。如何去记录用户的会议记录呢？要想掌握用户需要参会的情况就需要知道用户的身份信息，记录哪个用户在什么时间参加什么会议，如果用户要下载会议资料也需要知道用户的身份信息。所以，去管理用户的参会过程最基本的要实现用户的身份认证。
认证授权模块实现平台所有用户的身份认证与用户授权功能。

---

一、认证授权

1.用户身份认证

用户身份认证即用户去访问系统资源时系统要求验证用户的身份信息，身份合法方可继续访问。常见的用户身份认证的表现形式有：用户名密码登录，微信扫码等方式。
项目包括参会员工、组织会议员工、审核人员三类用户，不管哪一类用户在访问项目受保护资源时都需要进行身份认证。比如：创建会议操作，需要公司的相关人员首先登录系统成功，然后再执行创建会议操作。下载资料，需要参会用户首先登录系统，才可以下载资料。如下图：

2.用户授权

用户认证通过后去访问系统的资源，系统会判断用户是否拥有访问资源的权限，只允许访问有权限的系统资源，没有权限的资源将无法访问，这个过程叫用户授权。比如：用户去发布会议，系统首先进行用户身份认证，认证通过后继续判断用户是否有发布会议的权限，如果没有权限则拒绝继续访问系统，如果有权限则继续发布会议。
如下图：

二、业务流程

1.统一认证

用户输入账号和密码提交认证，认证通过则继续操作。
项目由统一认证服务受理用户的认证请求。

认证通过由认证服务向给用户颁发令牌，相当于访问系统的通行证，用户拿着令牌去访问系统的资源。

2.单点登录

本项目基于微服务架构构建，微服务包括：信息管理服务、文件管理服务、会议编排服务、系统管理服务等，为了提高用户体验性，用户只需要认证一次便可以在多个拥有访问权限的系统中访问，这个功能叫做单点登录。

单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

如下图，用户只需要认证一次，便可以在多个拥有访问权限的系统中访问。

3.第三方认证

为了提高用户体验，很多网站有扫码登录的功能，如：微信扫码登录、QQ扫码登录等。扫码登录的好处是用户不用输入账号和密码，操作简便，另外一个好处就是有利于用户信息的共享，互联网的优势就是资源共享，用户也是一种资源，对于一个新网站如果让用户去注册是很困难的，如果提供了微信扫码登录将省去用户注册的成本，是一种非常有效的推广手段。
微信扫码登录其中的原理正是使用了第三方认证，如下图：

二、Spring Security 认证

1.Spring Security

认证功能几乎是每个项目都要具备的功能，并且它与业务无关，市面上有很多认证框架，如：Apache Shiro、CAS、Spring Security等。由于本项目基于Spring Cloud技术构建，Spring Security是spring家族的一份子且和Spring Cloud集成的很好，所以本项目选用Spring Security作为认证服务的技术框架。
Spring Security 是一个功能强大且高度可定制的身份验证和访问控制框架，它是一个专注于为 Java 应用程序提供身份验证和授权的框架。

项目主页：https://spring.io/projects/spring-security
Spring cloud Security： https://spring.io/projects/spring-cloud-security

2.认证授权入门

1、部署认证服务工程
从创建meeting-plan-auth工程到自己的工程目录下。
此工程是一个普通的spring boot工程，可以连接数据库。
此工程不具备认证授权的功能。
2、创建数据库
创建meeeting_users数据库
在nacos中新增auth-service-dev.yaml：

server:
  servlet:
    context-path: /auth
  port: 63070
spring:
  datasource:
    driver-class-name: com.mysql.cj.jdbc.Driver
    url: jdbc:mysql://192.168.101.65:3306/xc1010_users?serverTimezone=UTC&userUnicode=true&useSSL=false&
    username: root
    password: mysql

初始工程自带了一个Controller类，如下：

package com.meeting.auth.controller;


/**
 * @author lix
 * @version 1.0
 * @description 测试controller
 * @date 2024/6/27 17:25
 */
@Slf4j
@RestController
public class LoginController {

  @Autowired
  MtUserMapper userMapper;

  @RequestMapping("/login-success")
  public String loginSuccess(){

      return "登录成功";
  }


  @RequestMapping("/user/{id}")
  public MtUser getuser(@PathVariable("id") String id){
    MtUser mtUser = userMapper.selectById(id);
    return mtUser;
  }

  @RequestMapping("/r/r1")
  public String r1(){
    return "访问r1资源";
  }

  @RequestMapping("/r/r2")
  public String r2(){
    return "访问r2资源";
  }
}

** 认证测试**
下边向auth认证工程集成Spring security，向pom.xml加入Spring Security所需要的依赖

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-oauth2</artifactId>
</dependency>

重启工程，访问http://localhost:63070/auth/r/r1
自动进入/login登录页面，/login是spring security提供的,此页面有几个css样式加载会稍微慢点，如下图：

账号和密码是多少呢？下一步需要进行安全配置。
拷贝课程资料下的WebSecurityConfig.java到config下需要三部分内容：
1、用户信息
在内存配置两个用户：zhangsan、lisi
zhangsan用户拥有的权限为p1
lisi用户拥有的权限为p2
2、密码方式
暂时采用明文方式
3、安全拦截机制
/r/**开头的请求需要认证
登录成功到成功页面
代码如下：

//配置用户信息服务
@Bean
public UserDetailsService userDetailsService() {
    //这里配置用户信息,这里暂时使用这种方式将用户存储在内存中
    InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
            manager.createUser(User.withUsername("zhangsan").password("123").authorities("p1").build());
    manager.createUser(User.withUsername("lisi").password("456").authorities("p2").build());
    return manager;
}

    @Bean
    public PasswordEncoder passwordEncoder() {
        //密码为明文方式
        return NoOpPasswordEncoder.getInstance();
    }

    //配置安全拦截机制
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/r/**").authenticated()//访问/r开始的请求需要认证通过
                .anyRequest().permitAll()//其它请求全部放行
                .and()
                .formLogin().successForwardUrl("/login-success");//登录成功跳转到/login-success
                http.logout().logoutUrl("/logout");//退出地址
    }

重启工程
1、访问http://localhost:63070/auth/user/52 可以正常访问
2、访问http://localhost:63070/auth/r/r1 显示登录页面
账号zhangsan，密码为123，如果输入的密码不正确会认证失败，输入正确显示登录成功。
为什么http://localhost:63070/auth/user/52 可以正常访问，访问http://localhost:63070/auth/r/r1 显示登录页面？

http.logout().logoutUrl(“/logout”);配置了退出页面，认证成功后访问/logout可退出登录。

授权测试

用户认证通过去访问系统资源时spring security进行授权控制，判断用户是否有该资源的访问权限，如果有则继续访问，如果没有则拒绝访问。
下边测试授权功能：
1、配置用户拥有哪些权限。
在WebSecurityConfig类配置zhangsan拥有p1权限，lisi拥有p2权限。

    @Bean
    public UserDetailsService userDetailsService() {
        //这里配置用户信息,这里暂时使用这种方式将用户存储在内存中
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        manager.createUser(User.withUsername("zhangsan").password("123").authorities("p1").build());
        manager.createUser(User.withUsername("lisi").password("456").authorities("p2").build());
        return manager;
    }

2、指定资源与权限的关系。
什么是系统的资源？
比如：查询一个用户的信息，用户信息就是系统的资源，要访问资源需要通过URL，所以我们在controller中定义的每个http的接口就是访问资源的接口。
下边在controller中配置/r/r1需要p1权限，/r/r2需要p2权限。
hasAuthority(‘p1’)表示拥有p1权限方可访问。
代码如下：

@RestController
public class LoginController {
    ....
    @RequestMapping("/r/r1")
    @PreAuthorize("hasAuthority('p1')")//拥有p1权限方可访问
    public String r1(){
      return "访问r1资源";
    }
    
    @RequestMapping("/r/r2")
    @PreAuthorize("hasAuthority('p2')")//拥有p2权限方可访问
    public String r2(){
      return "访问r2资源";
    }

现在重启工程。
当访问以/r/开头的url时会判断用户是否认证，如果没有认证则跳转到登录页面，如果已经认证则判断用户是否具有该URL的访问权限，如果具有该URL的访问权限则继续，否则拒绝访问。
例如：
访问/r/r1，使用zhangsan登录可以正常访问，因为在/r/r1的方法上指定了权限p1，zhangsan用户拥有权限p1,所以可以正常访问。
访问/r/r1，使用lisi登录则拒绝访问，由于lisi用户不具有权限p1需要拒绝访问
注意：如果访问上不加@PreAuthorize，此方法没有授权控制。

整理授权的过程见下图所示：