在 webflux 环境中使用 Spring Security

àì夳堔傛蜴生んèń 2024-03-23 10:02 77阅读 0赞

## 一、为什么要在 webflux 环境中使用 Spring Security？ ##

在微服务项目中，由于使用到了 gateway 。gateway 是接口请求的第一入口，所以可以把用户的认证和接口请求的权限验证放在网关进行认证与鉴权，于是就把 gateway 和 Security 整合一起使用。但是 gateway 框架与传统的 Spring MVC 不同，gateway 是基于 Netty 容器，采用的是 webflux 技术。

而在 webflux 环境下的认证授权和基于 SpringMVC 的方式不太一样，如：使用到的类、写法都有所差异，但整体流程是一致的！如果有过在 Spring Boot 中使用 Spring Security 的小伙伴，那在阅读本文之后，那在 webflux 中使用起来会没什么难度的。

## 二、两者关键对象区分 ##

<table> 
 <thead> 
  <tr> 
   <th>webflux</th> 
   <th>MVC</th> 
   <th>描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>@EnableWebFluxSecurity</td> 
   <td>@EnableWebSecurity</td> 
   <td>开启对 Spring Security 的支持</td> 
  </tr> 
  <tr> 
   <td>ReactiveSecurityContextHolder</td> 
   <td>SecurityContextHolder</td> 
   <td>上下文对象</td> 
  </tr> 
  <tr> 
   <td>AuthenticationWebFilter</td> 
   <td>AbstractAuthenticationProcessingFilter</td> 
   <td>身份验证Web过滤器</td> 
  </tr> 
  <tr> 
   <td>AuthorizationWebFilter</td> 
   <td>FilterSecurityInterceptor</td> 
   <td>权限控制Web过滤器</td> 
  </tr> 
  <tr> 
   <td>ReactiveAuthenticationManager</td> 
   <td>AuthenticationManager</td> 
   <td>身份验证管理器</td> 
  </tr> 
  <tr> 
   <td>ReactiveAuthorizationManager</td> 
   <td>AccessDecisionManager</td> 
   <td>访问决策管理器</td> 
  </tr> 
  <tr> 
   <td>WebFilter</td> 
   <td>FilterChainProxy</td> 
   <td>对Web请求进行拦截式链式处理</td> 
  </tr> 
  <tr> 
   <td>ReactiveUserDetailsService</td> 
   <td>UserDetailsService</td> 
   <td>加载用户信息服务</td> 
  </tr> 
 </tbody> 
</table>

## 三、用户认证 ##

### 创建项目并加入依赖 ###

Boot 版本 ：2.6.14

<dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    
    <dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-webflux</artifactId>
    </dependency>
    复制代码

### 创建业务接口并验证 ###

创建业务接口并验证是否与 webflux 框架整合成功。

@RestController
    public class HelloController {
    
        @GetMapping("hello-dev")
        public String devHello() {
            return "Hello Dev webflux Spring Security";
        }
    
        @GetMapping("hello-test")
        public String testHello() {
            return "Hello Test webflux Spring Security";
        }
    }
    复制代码

启动项目，在浏览器请求我们的接口：`http://localhost:8080/hello-dev`

![format_png][]

看到如上页面，如果学过笔者之前的 Spring Security 文章，那你应该知道怎么去找用户名和密码了。如下图，Spring Security 会在控制台会打印密码：

![format_png 1][]

用户名默认`user`，输入上面控制台打印的密码，点击 Sign in 按钮，就可以访问接口了：

![format_png 2][]

### 自定义账号密码 ###

#### 方式一：配置文件 ####

复制日志中出现的名称： `ctiveUserDetailsServiceAutoConfiguration`，在 idea 中按两下 shift

![format_png 3][]

在类 `ReactiveUserDetailsServiceAutoConfiguration` 中可以看到如下代码：

![format_png 4][]

可以看到密码的来源于 User 对象，而 User 对象，由 `reactiveUserDetailsService()` 方法传入，但值最终都是取自 `SecurityProperties`对象。

![format_png 5][]

而`SecurityProperties`就是一个读取配置文件的类，定义如下：

![format_png 6][]

所以自定义用户名和密码只需在配置文件添加如下配置即可：

spring:
      security:
        user:
          name: cxyxj
          password: 123456
    复制代码

再次启动项目，就可以使用`cxyxj`用户来登录了：

![format_png 7][]

#### 方式二：ReactiveUserDetailsService ####

[format_png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/684d884bf164460090949e31611f20da.png
[format_png 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/092b1919457f4f15a84faebfcfe432cb.png
[format_png 2]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/7254e32f95b84a49a822ad822c097f06.png
[format_png 3]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/b22ef4893ff844b396765df8de1ff7f3.png
[format_png 4]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/c62f2c8326344845863855d67e888b2a.png
[format_png 5]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/a247e7ea27364c43a0a79f4519687488.png
[format_png 6]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/d4f4dec3d89e4836b3082e7a5e4276a1.png
[format_png 7]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/6ecf46f88f06485095fcbc938309fbc4.png