Spring Security 认证的三种方式及简单的授权

1. 默认身份验证
   在pom.xml文件映入SpringSecutrity依赖启动器，启动项目，访问文章列表页面时，出现默认的登录页，需要用默认用户名：user，密码源于控制台输出，也就是最基础的登录

2. 内存身份验证
   自定义用户名和密码
   新建一个SecurityConfig的配置类，继承WebSecurityConfigurerAdapter类，重写configure(AuthenticationManagerBuilder auth)自定义身份认证

   /*开启安全管理配置*/
   @EnableWebSecurity
   public class SecurityConfig extends WebSecurityConfigurerAdapter {
   
       /*自定义身份认证*/
       @Override
       protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   
           /*密码编译器*/
           BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
   
           /*1.基于内存的身份认证*/
           //添加两个账户密码
           auth.inMemoryAuthentication().passwordEncoder(encoder)
                   .withUser("admin").password(encoder.encode("admin")).roles("admin")
                   .and()
                   .withUser("junko").password(encoder.encode("123456")).roles("common");
       }
   }
   

   启动项目，需要输入上面定义好的账户密码才能进行登录，这里有三张表，分别为用户、权限、用户-权限表

3. 使用UserDetails进行身份认证
   创建查询用户及用户权限的接口

   @Mapper
   public interface TUserMapper {
   
    	/*根据用户名去查询用户讯息*/
   	@Select("select * from t_user where username=#{username}")
   	public TUser selectUserByUserName(String username);
   }
   

   @Mapper
   public interface AuthorityMapper {
    	/*根据用户名去查询用户权限*/
   	public List<Authority> selectAuthorityByUserName(String username);
   }
   

   <?xml version="1.0" encoding="UTF-8" ?>
   <!DOCTYPE mapper
           PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN"
           "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
   <mapper namespace="net.junko.mapper.AuthorityMapper">
   
       <select id="selectAuthorityByUserName" resultType="net.junko.bean.Authority" parameterType="string">
           select a.* from t_user u,t_authority a,user_authority au where u.id=au.uid and a.id=au.aid and u.username=#{username}
       </select>
   </mapper>
   

   编写UserDetailsServiceImpl实现类
   前面说过，使用数据库的查询方法进行授权认证，需要实现UserDetailsService接口，重写loadUserByUsername方法

   @Service
   @Service
   public class UserDetailsServiceImpl implements UserDetailsService {
   
       @Autowired
       TUserMapper userMapper;
       @Autowired
       AuthorityMapper authorityMapper;
   
       /*根据前端登录页面传入的用户名，查询出数据库对应的用户信息和用户权限，
       把用户信息和权限封装成UserDetails对象，交给SpringSecurity进行身份认证*/
       @Override
       public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
   
           BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
   
           /*根据用户名查询用户信息、权限信息*/
           TUser user = userMapper.selectUserByUserName(s);
           List<Authority> authorities = authorityMapper.selectAuthorityByUserName(s);
   
           /*遍历封装用户权限*/
           List<SimpleGrantedAuthority>  authorityList = new ArrayList<>();
   		for (int i=0;i<authorities.size();i++)
           {
               authorityList.add(new SimpleGrantedAuthority(authorities.get(i).getAuthority()));
           }
   
           if(user!=null)
           {
               /*将用户名、密码、用户权限封装成UserDetails对象*/
               UserDetails userDetails = new User(user.getUsername(),encoder.encode(user.getPassword()),authorityList);
               return userDetails;
           }
           else {
               throw new UsernameNotFoundException("用户不存在");
           }
       }
   }
   

   在SecurityConfig类内配置根据UserDetails进行身份认证
   之前2的内存身份验证记得注释掉，注入UserDetailsServiceImpl

   /*开启安全管理配置*/
   @EnableWebSecurity
   public class SecurityConfig extends WebSecurityConfigurerAdapter {
   
       @Autowired
       UserDetailsServiceImpl userDetailsService;
   
       /*自定义身份认证*/
       @Override
       protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   
           /*密码编译器*/
           BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
   
           /*1.基于内存的身份认证*/
   //        auth.inMemoryAuthentication().passwordEncoder(encoder)
   //                .withUser("admin").password(encoder.encode("admin")).roles("admin")
   //                .and()
   //                .withUser("cai").password(encoder.encode("123457")).roles("common");
   
           /*2.使用UserDetails进行身份认证*/
           auth.userDetailsService(userDetailsService).passwordEncoder(encoder);
           }
    }
   

   测试，登录时用数据库内存储的用户信息
   用户授权管理
   在做好了认证方式后，想要指定不同的权限访问不同的页面，即自定义访问控制，则需要再进行一些设置

   在SecurityConfig配置类内重写configue(HttpSecurity http)方法，如果用户没有访问某页面的权限，会出现403页面错误，该错误页面提示可以根据自己的项目进行修改。

   /*开启安全管理配置*/
   @EnableWebSecurity
   public class SecurityConfig extends WebSecurityConfigurerAdapter {
   
       @Autowired
       UserDetailsServiceImpl userDetailsService;
   
       /*自定义身份认证*/
       @Override
       protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   
           /*密码编译器*/
           BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
   
           /*1.基于内存的身份认证*/
   //        auth.inMemoryAuthentication().passwordEncoder(encoder)
   //                .withUser("admin").password(encoder.encode("admin")).roles("admin")
   //                .and()
   //                .withUser("cai").password(encoder.encode("123457")).roles("common");
   
           /*2.使用UserDetails进行身份认证*/
           auth.userDetailsService(userDetailsService).passwordEncoder(encoder);
       }
   
   
       /*自定义用户权限*/
       @Override
       protected void configure(HttpSecurity http) throws Exception {
   
           /*自定义访问控制*/
           http.authorizeRequests()
                   .antMatchers("/").permitAll()  //表示放行“/”访问
                   //根据用户拥有的不同权限配置访问权限
                   .antMatchers("/admin/**").hasAuthority("admin")
                   .antMatchers("/common/**").hasAuthority("common")
                   .and()
                   .formLogin();
       }
   }
   

   在自定义用户权限设置后，就可以实现/路径下的页面不需要认证即可访问，/admin/**下的页面，则需要登录的用户具有admin权限才能访问，同理/common/**