Spring-security入门

冷不防 2022-12-26 02:27 12阅读 0赞

简介可以参考百度百科，简单来说是一个优秀的web安全框架。  
我们使用IDE新建一个maven工程，引入web 和security依赖

<dependency>
    			<groupId>org.springframework.boot</groupId>
    			<artifactId>spring-boot-starter-security</artifactId>
    		</dependency>
    		<dependency>
    			<groupId>org.springframework.boot</groupId>
    			<artifactId>spring-boot-starter-web</artifactId>
    		</dependency>

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70]  
我们编写一个控制器，不需要增加任何配置，springboot就完美整合了spring security。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 1]

我们浏览器访问http://localhost:8080/test/hello,调到了登录页面，密码可以从控制台中获取到。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 2]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 3]  
默认用户名为user，密码每次控制台生成不一样的。

配置固定的用户名和密码  
在application.properties文件中进行配置

server.port=8080
    spring.security.user.name=huangbaokang
    spring.security.user.password=123456

第二种方式，使用配置类来配置(之前配置文件的配置需要注释或者删除)

@Configuration
    public class SecurityConfig extends WebSecurityConfigurerAdapter{ 
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
            BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
            String password = passwordEncoder.encode("123456");
            auth.inMemoryAuthentication().withUser("zhanglulu").password(password).roles("admin");
        }
    }

启动，由于增加了@Configuration，故项目启动的时候会执行配置。但是访问的时候报  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 4]  
需要增加一个PasswordEncoder的配置Bean

@Bean
        public PasswordEncoder getPasswordEncoder(){ 
            return new BCryptPasswordEncoder();
        }

这样登录的账号密码变成了zhanglulu 密码123456

第三种方式，自定义配置  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 5]

我们需要了解UserDetailsService接口  
我们编写一个自定义的实现UserDetailsService的实现类  
![在这里插入图片描述][20201203151850278.png]  
返回值是UserDetails接口，我们看下它的实现类  
![在这里插入图片描述][20201203151808484.png]

我们可以用User

@Service("myUserDetailsService")
    // 名字跟下面引入要一致
    public class MyUserDetailsService implements UserDetailsService { 
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { 
            List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("admin");
            if(!username.equals("huangbaokang")){ 
                throw new UsernameNotFoundException("用户名不存在");
            }
            BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
            String password = passwordEncoder.encode("123456");
            return new User(username,password,auths);
        }
    }

@Configuration
    public class SecurityConfig extends WebSecurityConfigurerAdapter{ 
    
        @Autowired
        private MyUserDetailsService myUserDetailsService;
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
    
           /* 第二种方式 BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder(); String password = passwordEncoder.encode("123456"); auth.inMemoryAuthentication().withUser("zhanglulu").password(password).roles("admin");*/
           /*第三种方式，使用UserDetailsService*/
           auth.userDetailsService(myUserDetailsService).passwordEncoder(getPasswordEncoder());
        }
    
        @Bean
        public PasswordEncoder getPasswordEncoder(){ 
            return new BCryptPasswordEncoder();
        }
    }

扩展下，如果使用数据库验证，我们则可以在自定义的UserDetailsService的loadUserByUsername方法内进行查询。  
建表语句

create table users(
    	id bigint primary key auto_increment,
    	username varchar(20) unique not null,
    	password varchar(100)
    );

我们可以使用mybatis plus进行数据库的操作（当然任何一款都可以）。  
引入依赖

<dependency>
    	 <groupId>com.baomidou</groupId>
    	 <artifactId>mybatis-plus-boot-starter</artifactId>
    	 <version>3.0.5</version>
     </dependency>
     
     <dependency>
    	<groupId>mysql</groupId>
    	<artifactId>mysql-connector-java</artifactId>
    	<version>5.1.47</version>
    </dependency>
     
     <dependency>
    	 <groupId>org.projectlombok</groupId>
    	 <artifactId>lombok</artifactId>
     </dependency>

这里mysql驱动我制定了版本，如果不指定，默认springboot2.4引入的mysql8,而我的mysql版本是5.7（虚拟机docker安装的）。  
引入lombok，编写实体类（编辑器要安装该插件）

@Data
    public class Users { 
        private Integer id;
        private String username;
        private String password;
    }

编写Mapper接口，我们继承BaseMapper

@Repository
    public interface UsersMapper extends BaseMapper<Users> { 
    }

在配置文件application.properties中进行数据源配置

#mysql 数据库连接
    spring.datasource.driver-class-name=com.mysql.jdbc.Driver 
    spring.datasource.url=jdbc:mysql://192.168.37.100:3306/demo
    spring.datasource.username=root 
    spring.datasource.password=123456

为了测试数据，我们需要知道123456的密文，编写一个测试类就可以获取到。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 6]  
插入到数据库中  
![在这里插入图片描述][20201204103504761.png]  
编写MyUserDetailsService的查询逻辑

@Service("myUserDetailsService")
    public class MyUserDetailsService implements UserDetailsService { 
    
        @Autowired
        private UsersMapper usersMapper;
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { 
            // 使用mybatis-plus查询数据库
            QueryWrapper<Users> wrapper = new QueryWrapper<>();
            wrapper.eq("username",username);
            Users users = usersMapper.selectOne(wrapper);
            if(users == null){ 
                throw new UsernameNotFoundException("用户不存在");
            }
            // 设置角色
            List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("admin");
            return new User(users.getUsername(),users.getPassword(),auths);
        }
    }

在启动类上增加mybatis的包扫描注解（一定要加）

@SpringBootApplication
    @MapperScan("com.hbk.springsecurity.mapper")
    public class SpringsecurityApplication {

这样我们就完成了一个查询数据库验证的案例。

### 修改默认的登录页面 ###

默认的登录页面长这样，我们可以进行修改  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 7]  
我们可以在自定义的配置类中重写protected void configure(HttpSecurity http) throws Exception

package com.hbk.springsecurity.config;
    
    import com.hbk.springsecurity.service.MyUserDetailsService;
    import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.context.annotation.Bean;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    import org.springframework.security.core.userdetails.UserDetailsService;
    import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
    import org.springframework.security.crypto.password.PasswordEncoder;
    
    @Configuration
    public class SecurityConfig extends WebSecurityConfigurerAdapter{ 
    
        @Autowired
        private MyUserDetailsService myUserDetailsService;
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
    
           /* 第二种方式 BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder(); String password = passwordEncoder.encode("123456"); auth.inMemoryAuthentication().withUser("zhanglulu").password(password).roles("admin");*/
           /*第三种方式，使用UserDetailsService*/
           auth.userDetailsService(myUserDetailsService).passwordEncoder(getPasswordEncoder());
        }
    
        @Override
        protected void configure(HttpSecurity http) throws Exception { 
            http.formLogin()
                    .loginPage("/login.html") // 设置登录页面地址
                    .loginProcessingUrl("/test/login") // 设置登录页处理地址form 表单的action地址,路径随意，这个配置配合上面的登录地址
                   // .successForwardUrl("/success.html") // 设置成功跳转地址
                   // .failureUrl("/error.html") // 设置失败跳转地址
                    .defaultSuccessUrl("/test/default")
                   // .usernameParameter("uname") // 表单不是username
                  // .passwordParameter("pword") // 表单不是password
                    .permitAll() // 设置默认成功跳转页面
                    .and().authorizeRequests().antMatchers("/","/test/login").permitAll()// 设置不用认证的地址
                    .anyRequest().authenticated() //其他请求需要认证授权
                    .and().csrf().disable();// 关闭csrf防护
        }
    
        @Bean
        public PasswordEncoder getPasswordEncoder(){ 
            return new BCryptPasswordEncoder();
        }
    }

新建login.html,注意name的取值为username,password  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 8]  
增加默认成功跳转代码/test/default  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 9]

访问控制器，将进入我们自定义的登录认证页面。  
![在这里插入图片描述][20201204145136797.png]

源码解析  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 10]  
基于角色权限控制，主要学会如下几个方法即可

//.antMatchers("/test/index").hasAuthority("add") 
    //.antMatchers("/test/index").hasAnyAuthority("add,delete")
    //.antMatchers("/test/index").hasRole("sale")
     .antMatchers("/test/index").hasAnyRole("admin,sale")

注意设置角色时，底层源码增加了`ROLE_`  
![在这里插入图片描述][20201204152744846.png]

自定义403错误页面

// 自定义403错误页面
      http.exceptionHandling().accessDeniedPage("/error.html");

退出功能自定义跳转设置

http.logout().logoutUrl("/logout").logoutSuccessUrl("/index").permitAll
    ();

### 注解的使用 ###

注解版的使用，先启用

@SpringBootApplication
    @EnableGlobalMethodSecurity(securedEnabled=true)

@Secured使用

@RequestMapping("testSecured")
    @ResponseBody
    @Secured({ "ROLE_normal","ROLE_admin"})
    public String helloUser() { 
    return "hello,user"; }

@PreAuthorize注解，进入方法前进行验证

@EnableGlobalMethodSecurity(prePostEnabled = true)

@RequestMapping("/preAuthorize")
    @ResponseBody
    //@PreAuthorize("hasRole('ROLE_管理员')")
    @PreAuthorize("hasAnyAuthority('menu:system')")
    public String preAuthorize(){ 
     System.out.println("preAuthorize");
    return "preAuthorize"; }

@PostAuthorize注解使用，方法执行后再进行权限验证，用的不多

@RequestMapping("/testPostAuthorize")
    @ResponseBody
    @PostAuthorize("hasAnyAuthority('menu:system')")
    public String preAuthorize(){ 
     System.out.println("test--PostAuthorize");
    return "PostAuthorize"; }

@PostFilter注解使用，权限验证之后数据过滤，如下，最终返回一条数据

@RequestMapping("getAll")
    @PreAuthorize("hasRole('ROLE_管理员')")
    @PostFilter("filterObject.username == 'admin1'")
    @ResponseBody
    public List<UserInfo> getAllUser(){ 
     ArrayList<UserInfo> list = new ArrayList<>();
     list.add(new UserInfo(1l,"admin1","6666"));
     list.add(new UserInfo(2l,"admin2","888"));
    return list;
    }

@PreFilter: 进入控制器之前对数据进行过滤

@RequestMapping("getTestPreFilter")
    @PreAuthorize("hasRole('ROLE_管理员')")
    @PreFilter(value = "filterObject.id%2==0")
    @ResponseBody
    public List<UserInfo> getTestPreFilter(@RequestBody List<UserInfo> 
    list){ 
     list.forEach(t-> { 
     System.out.println(t.getId()+"\t"+t.getUsername());
     });
    return list;
    }

后续我将编写一篇关于使用spring security 实现web工程的角色权限案例，带菜单的登录角色权限控制，结合数据库实现。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70]: /images/20221120/42ed15cbcd83461883587e9b07cc67d5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 1]: /images/20221120/9a91ce93e95448d8afdf99ebfabe7014.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 2]: /images/20221120/6d2d397b8d5440d1ab766fc1cf7fbaca.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 3]: /images/20221120/5b66510fe0d743eaae4b82c772789fc9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 4]: /images/20221120/553f967e6f724835a49ee3bd7e595bee.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 5]: /images/20221120/77090b95c6ba41d89f92af07a1cc2ac0.png
[20201203151850278.png]: /images/20221120/79ed6ad29a064210bc70c7d7de3bff27.png
[20201203151808484.png]: /images/20221120/aa499b275d954a3291649d05833c651c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 6]: /images/20221120/e0500806975846d3a5818a7bdc5f0f36.png
[20201204103504761.png]: /images/20221120/9e035b5fb40840c793b94f67dbe07135.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 7]: /images/20221120/618ea2acb7a849abbeeaa4007dd7643f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 8]: /images/20221120/49969377301645508856fb398a86f57d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 9]: /images/20221120/31c833f599f541faafd6e73d6d3413c7.png
[20201204145136797.png]: /images/20221120/8920e463aacd46bc89ff4e1f70cb2912.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70 10]: /images/20221120/c85ed52e010f453dbfc45a6e85e58a21.png
[20201204152744846.png]: /images/20221120/e373d67ab5fe453eb57484fbd192fec7.png