Spring Security：探索 JDBC 身份验证

╰半橙微兮° 2023-09-25 12:27 79阅读 0赞

### **1. 概述** ###

在这个简短的教程中，我们将探讨 Spring 提供的使用现有[数据源][Link 1]配置执行 JDBC 身份验证的功能。

在我们的[“使用数据库支持的用户详细信息服务进行身份验证][Link 2]”一文中，我们分析了一种通过自己实现*用户详细信息服务*接口来实现此目的的方法。

这一次，我们将使用*身份验证管理器生成器\#jdbc 身份验证*指令来分析这种更简单方法的优缺点。

### **2. 使用嵌入式 H2 连接** ###

首先，我们将分析如何使用嵌入式 H2 数据库实现身份验证。

这很容易实现，因为大多数弹簧启动的自动配置都是针对此方案准备的。

#### **2.1. 依赖关系和数据库配置** ####

让我们首先按照我们之前的[春季启动与H2数据库][H2]帖子的说明开始：

1.  包括相应的*弹簧启动器-起始-数据-jpa* 和 *h2* 依赖项
2.  使用应用程序属性配置数据库连接
3.  启用 H2 控制台

#### **2.2. 配置 JDBC 认证** ####

**我们将使用[Spring Security的身份验证管理器构建器配置帮助程序][Spring Security]来配置JDBC身份验证：**

@Autowired
    private DataSource dataSource;
    
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth)
      throws Exception {
        auth.jdbcAuthentication()
          .dataSource(dataSource)
          .withDefaultSchema()
          .withUser(User.withUsername("user")
            .password(passwordEncoder().encode("pass"))
            .roles("USER"));
    }
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

正如我们所看到的，我们正在使用自动配置的*数据源。* *withDefaultSchema* 指令添加了一个数据库脚本，该脚本将填充默认架构，从而允许用户和权限进行存储。

此基本用户架构记录在 [Spring 安全附录中][Spring]。

最后，我们以编程方式在数据库中使用默认用户创建一个条目。

#### **2.3. 验证配置** ####

让我们创建一个非常简单的终结点来检索经过身份验证的*主体*信息：

@RestController
    @RequestMapping("/principal")
    public class UserController {
    
        @GetMapping
        public Principal retrievePrincipal(Principal principal) {
            return principal;
        }
    }

此外，我们将保护此终端节点，同时允许访问 H2 控制台：

@Configuration
    public class SecurityConfiguration {
    
        @Bean
        public SecurityFilterChain filterChain(HttpSecurity httpSecurity)
          throws Exception {
            httpSecurity.authorizeRequests()
              .antMatchers("/h2-console/**")
              .permitAll()
              .anyRequest()
              .authenticated()
              .and()
              .formLogin();
            
            httpSecurity.csrf()
              .ignoringAntMatchers("/h2-console/**");
            httpSecurity.headers()
              .frameOptions()
              .sameOrigin();
          return http.build();
        }
    }

注意：在这里，我们重现了Spring Boot实现[的以前的安全配置][Link 3]，**但在现实场景中，我们可能根本不会启用H2控制台。**

现在，我们将运行应用程序并浏览 H2 控制台。我们可以验证**Spring是否正在我们的嵌入式数据库中创建两个表：*用户*和*权限。***

它们的结构对应于我们之前提到的弹簧安全附录中定义的结构。

最后，让我们进行身份验证并请求 */principal* 终结点以查看相关信息，包括用户详细信息。

#### **2.4. 引擎盖下** ####

在本文的开头，我们提供了一个教程的链接，该教程解释了如何**自定义实现*用户详细信息服务*接口的数据库支持的身份验证**;我们强烈建议看看这篇文章，如果我们想了解事情是如何运作的。

**在这种情况下，我们依赖于Spring安全提供的相同接口的实现;*贾德布克道因普尔*。**

如果我们探索这个类，我们将看到它使用的*UserDetails*实现，以及从数据库中检索用户信息的机制。

这适用于这个简单的场景，但是如果我们要自定义数据库架构，或者即使我们想要使用不同的数据库供应商，它也有一些缺点。

让我们看看如果我们更改配置以使用不同的 JDBC 服务会发生什么。

### **3. 针对不同的数据库调整架构** ###

在本节中，我们将使用 MySQL 数据库在项目上配置身份验证。

正如我们接下来将看到的，为了实现这一点，我们需要避免使用默认架构并提供自己的架构。

#### **3.1. 依赖关系和数据库配置** ####

对于初学者，让我们删除*h2*依赖项并将其替换为相应的MySQL库：

<dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
        <version>8.0.17</version>
    </dependency>

与往常一样，我们可以在[Maven Central][]中查找最新版本的图书馆。

现在，让我们相应地重新设置应用程序属性：

spring.datasource.url=
      jdbc:mysql://localhost:3306/jdbc_authentication
    spring.datasource.username=root
    spring.datasource.password=pass

#### **3.2. 运行默认配置** ####

当然，这些应该自定义以连接到正在运行的MySQL服务器。出于测试目的，我们将在这里使用 Docker 启动一个新实例：

docker run -p 3306:3306
      --name bael-mysql
      -e MYSQL_ROOT_PASSWORD=pass
      -e MYSQL_DATABASE=jdbc_authentication
      mysql:latest

现在让我们运行该项目，看看默认配置是否适合MySQL数据库。

实际上，应用程序将无法启动，因为 *SQL 语法错误异常*。这实际上是有道理的;正如我们所说，大多数默认的自动配置都适用于HSQLDB。

在这种情况下，随“***默认程序*”指令提供的 DDL 脚本使用不适合 MySQL 的方言。**

因此，我们需要避免使用此架构并提供我们自己的架构。

#### **3.3. 调整身份验证配置** ####

由于我们不想使用默认架构，因此必须从*身份验证管理器生成器*配置中删除正确的语句。

此外，由于我们将提供自己的SQL脚本，因此我们可以避免尝试以编程方式创建用户：

@Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth)
      throws Exception {
        auth.jdbcAuthentication()
          .dataSource(dataSource);
    }

现在，让我们看一下数据库初始化脚本。

首先，我们的*schema.sql*：

CREATE TABLE users (
      username VARCHAR(50) NOT NULL,
      password VARCHAR(100) NOT NULL,
      enabled TINYINT NOT NULL DEFAULT 1,
      PRIMARY KEY (username)
    );
      
    CREATE TABLE authorities (
      username VARCHAR(50) NOT NULL,
      authority VARCHAR(50) NOT NULL,
      FOREIGN KEY (username) REFERENCES users(username)
    );
    
    CREATE UNIQUE INDEX ix_auth_username
      on authorities (username,authority);

然后，我们的*data.sql*：

-- User user/pass
    INSERT INTO users (username, password, enabled)
      values ('user',
        '$2a$10$8.UnVuG9HHgffUDAlk8qfOuVGkqRzgVymGe07xd00DMxs.AQubh4a',
        1);
    
    INSERT INTO authorities (username, authority)
      values ('user', 'ROLE_USER');

最后，我们应该修改一些其他应用程序属性：

*  由于我们不希望休眠现在创建架构，因此我们应该禁用 *ddl-auto* 属性
 *  默认情况下，Spring Boot 仅初始化嵌入式数据库的数据源，此处的情况并非如此：

spring.sql.init.mode=always
    spring.jpa.hibernate.ddl-auto=none

因此，我们现在应该能够正确启动应用程序，从终结点对 *Principal* 数据进行身份验证和检索。

另外，请注意*，弹簧.sql.init.mode* 属性是在弹簧启动 2.5.0 中引入的。对于早期版本，我们需要使用*弹簧数据源初始化模式。*

### **4. 针对不同的架构调整查询** ###

让我们更进一步。想象一下，默认架构不适合我们的需求。

#### **4.1. 更改默认架构** ####

例如，想象一下，我们已经有一个数据库，其结构与默认数据库略有不同：

CREATE TABLE bael_users (
      name VARCHAR(50) NOT NULL,
      email VARCHAR(50) NOT NULL,
      password VARCHAR(100) NOT NULL,
      enabled TINYINT NOT NULL DEFAULT 1,
      PRIMARY KEY (email)
    );
      
    CREATE TABLE authorities (
      email VARCHAR(50) NOT NULL,
      authority VARCHAR(50) NOT NULL,
      FOREIGN KEY (email) REFERENCES bael_users(email)
    );
    
    CREATE UNIQUE INDEX ix_auth_email on authorities (email,authority);

最后，我们的*数据.sql*脚本也将适应此更改：

-- User user@email.pass/pass
    INSERT INTO bael_users (name, email, password, enabled)
      values ('user',
        'user@email.com',
        '$2a$10$8.UnVuG9HHgffUDAlk8qfOuVGkqRzgVymGe07xd00DMxs.AQubh4a',
        1);
    
    INSERT INTO authorities (email, authority)
      values ('user@email.com', 'ROLE_USER');

#### **4.2. 使用新模式运行应用程序** ####

让我们启动我们的应用程序。它正确初始化，这是有道理的，因为我们的架构是正确的。

现在，如果我们尝试登录，我们会发现在提供凭据时提示错误。

Spring Security 仍在数据库中查找*用户名*字段。幸运的是，JDBC 身份验证配置提供了**自定义用于在身份验证过程中检索用户详细信息的查询的可能性。**

#### **4.3. 自定义搜索查询** ####

调整查询非常容易。在配置*身份验证管理器生成器*时，我们只需要提供自己的 SQL 语句：

@Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) 
      throws Exception {
        auth.jdbcAuthentication()
          .dataSource(dataSource)
          .usersByUsernameQuery("select email,password,enabled "
            + "from bael_users "
            + "where email = ?")
          .authoritiesByUsernameQuery("select email,authority "
            + "from authorities "
            + "where email = ?");
    }

我们可以再次启动应用程序，并使用新凭据访问 */principal* 终结点。

### **5. 结论** ###

正如我们所看到的，这种方法比必须创建我们自己的*用户详细信息服务*实现要简单得多，这意味着一个艰巨的过程;创建实现*用户详细信息*接口的实体和类，并将存储库添加到我们的项目中。

**当然，缺点是，当我们的数据库或逻辑与Spring安全解决方案提供的默认策略不同时，它提供的灵活性很小**。

最后，我们可以看看 [GitHub 存储库][GitHub]中的完整示例。我们甚至包括一个使用PostgreSQL的示例，我们在本教程中没有显示该示例，只是为了保持简单。

[Link 1]: https://www.baeldung.com/spring-boot-configure-data-source-programmatic
[Link 2]: https://www.baeldung.com/spring-security-authentication-with-a-database
[H2]: https://www.baeldung.com/spring-boot-h2-database
[Spring Security]: https://spring.io/guides/topicals/spring-security-architecture#_customizing_authentication_managers
[Spring]: https://docs.spring.io/spring-security/site/docs/current/reference/html/appendix.html#user-schema
[Link 3]: https://github.com/spring-projects/spring-boot/issues/10435
[Maven Central]: https://search.maven.org/search?q=a:mysql-connector-java%20g:mysql
[GitHub]: https://github.com/eugenp/tutorials/tree/master/spring-security-modules/spring-security-web-boot-2