Spring Security框架的快速开始

Dear 丶 2022-10-28 13:24 157阅读 0赞

### 1、项目简单开始 ###

1、导包

采用spring boot + spring security的方式

<dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-security</artifactId>
            </dependency>

2、编写controlller

@RestController
    public class TestController { 
        @GetMapping("hello")
        public String hello(){ 
            return "hello,SpringSecurity";
        }
    }

3、启动项目

当完成前两步骤的时候，已经是一个使用SpringSecurity的简单demo了。

在访问localhost:8080/hello前，会跳转到/login，界面如下，不过我这是css文件没加载出来的情况

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwMDA4NTM1_size_16_color_FFFFFF_t_70_pic_center]

默认用户名为：user，密码在项目启动时会输出到屏幕上，如下：

> Using generated security password: 66a2da20-bcc8-4314-89e9-56c346577fee

验证通过后会跳转到/hello路径。

### 2、Web权限方案 ###

我们使用Spring Security框架的目的是为了：  
（1）认证

（2）授权

#### 1、数据来源 ####

在认证用户之前，我们需要配置用户数据，我们有以下三种方式来进行用户数据配置

第一种：配置文件

spring:
      security:
        user:
          name: user
          password: user

第二种：配置类

@Configuration
    public class SecurityConfig extends WebSecurityConfigurerAdapter { 
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
            BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
            String password = passwordEncoder.encode("admin");
            auth.inMemoryAuthentication().withUser("admin").password(password).roles("admin");
        }
    
        @Bean
        PasswordEncoder passwordEncoder(){ 
            return new BCryptPasswordEncoder();
        }
    }

第三种：自定义配置类

两步：配置类+数据查询类

@Configuration
    public class SecurityConfigTest extends WebSecurityConfigurerAdapter { 
    
        @Autowired
        private UserDetailsService userDetailsService;
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
            auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    
        }
        
        @Bean
        PasswordEncoder passwordEncoder(){ 
            return new BCryptPasswordEncoder();
        }
    }

数据查询类：

@Service("userDetailsService")
    public class UserService implements UserDetailsService { 
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { 
            // 假装我进行数据库操作
            List<GrantedAuthority> admin = AuthorityUtils.commaSeparatedStringToAuthorityList("admin");
            return new User("tom",new BCryptPasswordEncoder().encode("123"),admin);
        }
    }

#### 2、认证与授权 ####

我们主要是在我们自定义的类继承WebSecurityConfigurerAdapter类中，重写configure()方法中可以进行定义。  
在configure()方法中，我们主要会定义四个方面：formLogin、authorizeRequests、exceptionHandling、logout

@override
        protected void configure(HttpSecurity http) throws Exception { 
            http.formLogin()
                    .defaultSuccessUrl("登录认证成功后的路径,如/loginSuccess")
                    .loginProcessingUrl("指定登录页面中的登录路径,如/user/login")	
                    .loginPage("指定登录的页面,如/login.html")
                    .successHandler(new AuthenticationSuccessHandler()) //登录成功处理器，AuthenticationSuccessHandler是接口，具体需要我们实现
                    .failureHandler(new AuthenticationFailureHandler()) //登录失败处理器，如上
                    .usernameParameter("指定用户名的名称")
                    .passwordParameter("指定密码的名称")
                    .permitAll();
                    .and()
               .authorizeRequests()
               		.antMatchers("/loginFail","/loginSuccess").permitAll()
                    .antMatchers("/hi").hasRole("admin")
                    .antMatchers("/hello").hasAuthority("admin1")
                    .antMatchers("/路径").hasAnyAuthority("admin,user")
                    .antMatchers("/路径").hasAnyRole("admin,user")
                    .anyRequest().authenticated() //尚未匹配的任何URL要求用户进行身份验证 
                    .and()
               // 登录成功，权限/角色认证失败后处理 
              .exceptionHandling()
              		// 传入一个处理器或者一个跳转路径
              		.accessDeniedHandler(new AccessDeniedHandler() { 
                        @Override
                        public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException { 
                            System.out.println("你登录失败了");
                            response.sendRedirect("/loginFail");
                        }
                    })
                    // .and().exceptionHandling().accessDeniedPage("/loginFail") //定制登录成功，权限/角色验证失败后的情况
                    .and()
              .logout()
                     .logoutUrl("/logout")
                     .logoutSuccessUrl("/登出成功")
                     .logoutSuccessHandler("登出成功后的处理器").permitAll()
                    .and()
              .csrf().disable();
        }

注意点：

*  例如设置登录成功的路径时，defaultSuccessUrl和successHandler都有涉及到，你需要把你要用到的设置放到后边。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwMDA4NTM1_size_16_color_FFFFFF_t_70_pic_center]: /images/20221024/73ba0e3b013a4622a2cf542cab74f82f.png