SpringSecurity-认证和授权
表单登录
单体应用
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter{
//5.0以后默认使用非明文密码，如下方式使用已经过时的明文密码验证
@Bean
PasswordEncoder passwordEncoder(){
return NoOpPasswordEncoder.getInstance();
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests() //返回一个url拦截注册器，通过他来匹配需要拦截的请求
.anyRequest().authenticated() //所有请求都要被拦截进行认证
.and()//回到HttpSecurity http
.ignoring().antMatchers("js/**","css/**")//静态自愿放行
.and()
.formLogin() //返回一个SpringScurity提供的表单认证配置器
.loginPage("/myLogin.html") //指定自定义登录页，同时会以/myLogin.html注册一个Post路由，用于接收登录请求
.loginProcessingUrl("/login")//代替默认注册的验证路由，使用自定义路由接收登陆请求
.successForwardUrl("/index.html")//登录成功的跳转页面
.failureForwardUrl("/error.html")//登录失败的跳转页面
.usernameParameter("user")//替换默认接收用户名参数(username)为user
.passwordParameter("pwd")//替换默认接收密码参数(password)为pwd
.permitAll()//对操作路由进行放行
.and()
.csrf().disable();//跨站请求伪造防护功能，当继承WebSecurityConfigurerAdapter时会默认开启csrf（）方法
}
}
前后端分离应用
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter{
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests() //返回一个url拦截注册器，通过他来匹配需要拦截的请求
.anyRequest().authenticated() //所有请求都要被拦截进行认证
.and()//回到HttpSecurity http
.formLogin() //返回一个SpringScurity提供的表单认证配置器
.loginPage("/myLogin.html") //指定自定义登录页，同时会以/myLogin.html注册一个Post路由，用于接收登录请求
.loginProcessingUrl("/login")//代替默认注册的验证路由，使用自定义路由接收登陆请求
.successForwardUrl("/index.html")//登录成功的跳转页面
.successHandler(new AuthenticationSuccessHandler() {
@Override
public void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
httpServletResponse.setContentType("application/json;charset=UTF-8");
PrintWriter out = httpServletResponse.getWriter();
out.write("{\"error_code\":\"0\",\"message\":\"登录成功\"}");
}
})//登录成功返回json数据
.failureHandler(new AuthenticationFailureHandler() {
@Override
public void onAuthenticationFailure(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
httpServletResponse.setContentType("application/json;charset=UTF-8");
PrintWriter out = httpServletResponse.getWriter();
out.write("{\"error_code\":\"401\",\"message\":\"登录验证失败\"}");
}
})//登录失败返回json数据
.usernameParameter("user")//替换默认接收用户名参数(username)为user
.passwordParameter("pwd")//替换默认接收密码参数(password)为pwd
.permitAll()//对操作路由进行放行
.and()
.csrf().disable();//跨站请求伪造防护功能，当继承WebSecurityConfigurerAdapter时会默认开启csrf（）方法
}
}
授权
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter{
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests() //返回一个url拦截注册器，通过他来匹配需要拦截的请求
.anyRequest().authenticated() //所有请求都要被拦截进行认证
.antMatchers("/admin/api/**").hasAnyRole("ADMIN")//admin角色用户可以访问限制
.antMatchers("/user/api/**").hasAnyRole("USER")//user角色用户访问限制
.antMatchers("/app/api/**").permitAll()//所有角色用户都可访问
.and()//回到HttpSecurity http
.formLogin() //返回一个SpringScurity提供的表单认证配置器
.loginPage("/myLogin.html") //指定自定义登录页，同时会以/myLogin.html注册一个Post路由，用于接收登录请求
.loginProcessingUrl("/login")//代替默认注册的验证路由，使用自定义路由接收登陆请求
.successForwardUrl("/index.html")//登录成功的跳转页面
.successHandler(new AuthenticationSuccessHandler() {
@Override
public void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
httpServletResponse.setContentType("application/json;charset=UTF-8");
PrintWriter out = httpServletResponse.getWriter();
out.write("{\"error_code\":\"0\",\"message\":\"登录成功\"}");
}
})//登录成功返回json数据
.failureHandler(new AuthenticationFailureHandler() {
@Override
public void onAuthenticationFailure(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
httpServletResponse.setContentType("application/json;charset=UTF-8");
PrintWriter out = httpServletResponse.getWriter();
out.write("{\"error_code\":\"401\",\"message\":\"登录验证失败\"}");
}
})//登录失败返回json数据
.usernameParameter("user")//替换默认接收用户名参数(username)为user
.passwordParameter("pwd")//替换默认接收密码参数(password)为pwd
.permitAll()//对操作路由进行放行
.and()
.csrf().disable();//跨站请求伪造防护功能，当继承WebSecurityConfigurerAdapter时会默认开启csrf（）方法
}
}
antMatchers()是一个采用ANT模式的URL匹配器。
- 匹配任意单个字符 *
- 匹配任意多个字符 **
认证和授权
基于内存的多用户支持
实现自定义的UserDetailsService,任何实现UserDetailsService接口的对象都可以作为验证数据源
InMemoryUserDetailsManager是UserDetailsService接口中的一个实现类，它将用户数据源寄存在内存里，这里仅仅调用createUser（）生成两个用户，并赋予相应的角色。
@Bean
public UserDetailsService userDetailsService(){
InMemoryUserDetailsManager inMemoryUserDetailsManager = new InMemoryUserDetailsManager();
inMemoryUserDetailsManager.createUser(User.withUsername("liuhui").password("12121").roles("ADMIN").build());
inMemoryUserDetailsManager.createUser(User.withUsername("zhujie").password("12121").roles("USER").build());
return inMemoryUserDetailsManager;
}
基于默认数据库模型的多用户支持
JdbcUserDetailsManager帮助我们以JDBC的方式对接数据库和Spring Security，它设定了一个默认的数据库模型。
JdbcUserDetailsManager需要两个表，User表和authorities表，用来描述角色和权限的关联
Users：用户名、密码、是否可用
authorities:用户名、权限
相对于基于内存的方式很相似，主要区别是相当于把用户信息保存到了数据库中，比如creatUser相当于在数据库中执行
insert into users(username,password,enabled) values(?,?,?)
@Autowired
private DataSource dataSource;
@Bean
public UserDetailsService userDetailsService(){
JdbcUserDetailsManager jdbcUserDetailsManager = new JdbcUserDetailsManager();
jdbcUserDetailsManager.setDataSource(dataSource);
jdbcUserDetailsManager.createUser(User.withUsername("liuhui").password("12121").roles("ADMIN").build());
jdbcUserDetailsManager.createUser(User.withUsername("zhujie").password("12121").roles("USER").build());
return jdbcUserDetailsManager;
}
基于自定义数据库模型的认证和授权
编写一个用户实体实现UserDetails
public class User implements UserDetails {
private Long id;//用户id
private String username;//用户名
private String password;//密码
private String roles;//权限信息
private boolean enbled;//是否启用
private List<GrantedAuthority> authorities;
@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
return null;
}
@Override
public String getPassword() {
return null;
}
@Override
public String getUsername() {
return null;
}
@Override
public boolean isAccountNonExpired() { //是否过期
return true;
}
@Override
public boolean isAccountNonLocked() { //是否锁定
return true;
}
@Override
public boolean isCredentialsNonExpired() { //用户凭证是否过期
return true;
}
@Override
public boolean isEnabled() {
return enbled;
}
//set//get
编写通过用户名查找用户的mapper
public interface UserMapper {
@Select("SELECT * FROM users WHERE username=#{username}")
User findByUserName(@Param("username") String username);
}
编写MyUserDetailsService并实现UserDetailsService
@Service
public class MyUserDetailService implements UserDetailsService {
@Autowired
UserMapper userMapper;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
//从数据库尝试读取该用户
User user = userMapper.findByUserName(username);
//用户不存在，抛出异常
if(user == null){
throw new UsernameNotFoundException("用户不存在！");
}
//将数据库形式的roles解析为UserDetails的权限集
//AuthorityUtils.commaSeparatedStringToAuthorityList是SpringSecurity提供的，该方法用于将逗号隔开的权限集字符串切割成可用权限集合
//也可自己实现
user.setAuthorities(AuthorityUtils.commaSeparatedStringToAuthorityList(user.getRoles()));
return user;
}
}
