springboot学习之十四(SpringSecurity整合Thymeleaf和后台的权限注解)
1.首先,我们需要在pom文件中添加以下依赖:
<!--thymeleaf springsecurity5 依赖--> <dependency> <groupId>org.thymeleaf.extras</groupId> <artifactId>thymeleaf-extras-springsecurity5</artifactId> </dependency> <!--thymeleaf依赖--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-thymeleaf</artifactId> </dependency>
2.在html页面中引入thymeleaf命名空间和security命名空间。
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org" xmlns:sec="http://www.thymeleaf.org/thymeleaf-extrasspringsecurity5">
3.获取属性:我们可以在html页面中通过sec:authentication标签获取usernamePasswordAuthenticationToken中所有getXXX的内容
name :登录账号名称
principal :登录主体,在自定义登录逻辑中是 UserDetails
credentials :凭证
authorities :权限和角色
details :实际上是 WebAuthenticationDetails 的实例。可以获取 remoteAddress (客
户端 ip)和 sessionId (当前 sessionId)
4.sec:authorize可以判断是否含有某权限或角色来显示或隐藏内容,做到权限的安全。
比如:
我们给用户添加以下角色和权限 (后台UserDetailsServiceImpl的loadUserByUsername方法)
//1.按照用户名查用户 //2.按id查权限list //3.按id查角色list (角色必须前面拼接ROLE_) //4.把权限list和角色list拼接成一个list,传入User //User user=new User(username,myUser.getPassword(),authorities); return new User("admin", encode, AuthorityUtils.commaSeparatedStringToAuthorityList("admin," + "normal,ROLE_abc,/main.html, /insert, /delete"));
然后,在前端模板中写以下代码来判断权限和角色
<!--如果没认证--> <div sec:authorize="!isAuthenticated()">显示没认证的内容</div> <!--如果认证了--> <div sec:authorize="isAuthenticated()">显示认证的内容</div> 通过权限判断: <button sec:authorize="hasAuthority('/insert')">新增</button> <button sec:authorize="hasAuthority('/delete')">删除</button> <button sec:authorize="hasAuthority('/update')">修改</button> <button sec:authorize="hasAuthority('/select')">查看</button> <br/> 通过角色判断: <button sec:authorize="hasRole('abc')">新增</button> <button sec:authorize="hasRole('abc')">删除</button> <button sec:authorize="hasRole('abc')">修改</button> <button sec:authorize="hasRole('abc')">查看</button>
5.SpringSecurity的后台常用注解
@Secured注解 :@Secured注解用于校验用户具有某个角色,才可以访问方法
启动类上开启注解
@EnableGlobalMethodSecurity(securedEnabled = true)
方法上使用注解
/** * 测试@Secured注解 * @return */ @RequestMapping("/add") @Secured({"ROLE_student"}) public String add(){ return "hello student!"; } // 主体没有ROLE_teacher角色不能访问这个方法 @RequestMapping("/add2") @Secured({"ROLE_teacher"}) public String add2(){ return "hello teacher!"; }
登录是用户对象中设置角色(上面讲过)
@Override public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException { List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("admin,ROLE_student");//权限和角色(角色前面加ROLE_) //可以从数据库获取用户名和密码 return new User("qfAdmin",new BCryptPasswordEncoder().encode("123456"),auths); }
@PreAuthorize :进入方法前的权限验证
启动类开启注解
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
方法上使用注解
@RequestMapping("/postItems") @PostAuthorize("hasAnyAuthority('teacher')") public String postItems(){ //先执行方法内容,再做权限校验 System.out.println("show detail here..."); return "show post items"; }
@PostAuthorize :在方法访问之后进行校验,实际使用并不多
启动类上开启注解
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
方法上使用注解
@RequestMapping("/postItems") @PostAuthorize("hasAnyAuthority('teacher')") public String postItems(){ //先执行方法内容,再做权限校验 System.out.println("show detail here..."); return "show post items"; }
@PostFilter : 权限验证之后对数据进行过滤,只能获取满足条件的数据
实体类
@Data @AllArgsConstructor @NoArgsConstructor public class User { private Long id; private String userName; }
在方法上使用注解
@RequestMapping("/postFilterItems") @PreAuthorize("hasAnyAuthority('admin')") @PostFilter("filterObject.userName == 'xiaoming'") public List<User> getUsers(){ ArrayList<User> list = new ArrayList<User>(); list.add(new User(1L,"xiaowang")); list.add(new User(2L,"xiaoming")); return list; }
- 访问接口,发现list集合中获取了满足条件的xiaoming对象
@PreFilter : 对传入方法的数据进行过滤
在方法上使用注解
@RequestMapping("/preFilterItems") @PreAuthorize("hasAnyAuthority('admin')") @PreFilter(value = "filterObject.userName == 'xiaoming'") public List<User> getUsersByPreFilter(@RequestBody List<User> list) { //只有userName是'xiaoming'的数据才会被传入 list.forEach(t -> { System.out.println(t.getUserName()); }); return list; }
- 访问方法,发现只有userName是’xiaoming’的数据才会被传入
6.注销页面
@Override protected void configure(HttpSecurity http) throws Exception { //注销的配置 http.logout().logoutUrl("/logout") //注销时访问的路径 .logoutSuccessUrl("/logoutSuccess").permitAll(); //注销成功后访问的路径 //配置没有权限的跳转页面 http.exceptionHandling().accessDeniedPage("/error.html"); http.formLogin() .loginPage("/login.html") //设置自定义登陆页面 .loginProcessingUrl("/usr/login") //登陆时访问的路径 //.defaultSuccessUrl("/index").permitAll() //登陆成功后跳转的路径 .defaultSuccessUrl("/success.html").permitAll() //登陆成功后跳转的路径 .and().authorizeRequests() .antMatchers("/","/add","/user/login").permitAll() //设置可以直接访问的路径,取消拦截 //1.hasAuthority方法:当前登陆用户,只有具有admin权限才可以访问这个路径 //.antMatchers("/index").hasAuthority("admin") //2.hasAnyAuthority方法:当前登陆用户,具有admin或manager权限可以访问这个路径 //.antMatchers("/index").hasAnyAuthority("admin,manager") //3.hasRole方法:当前主体具有指定角色,则允许访问 //.antMatchers("/index").hasRole("student") //4.hasAnyRole方法:当前主体只要具备其中某一个角色就能访问 .antMatchers("/index").hasAnyRole("student1,teacher") .anyRequest().authenticated() .and().csrf().disable(); //关闭csrf防护 }
@RequestMapping(value="/logout", method = RequestMethod.GET) public String logoutPage (HttpServletRequest request, HttpServletResponse response) { Authentication auth = SecurityContextHolder.getContext().getAuthentication(); if (auth != null){ new SecurityContextLogoutHandler().logout(request, response, auth); } return "redirect:/login?logout";//You can redirect wherever you want, but generally it's a good practice to show login screen again. }
转 : https://blog.csdn.net/qq_42582773/article/details/121941391
https://blog.csdn.net/weixin_46818691/article/details/126630085
https://blog.csdn.net/vbirdbest/article/details/90553444