SpringSecurity+Token实现权限校验
1.Spring Security简介
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
1.1.需求
实现权限校验，指定用户可以访问指定页面
1.2代码解读分析
1).继承WebSecurityConfigurerAdapter类
2).重写 configure 方法
protected void configure(HttpSecurity httpSecurity)
注：此方法用来添加校验规则
/**
* anyRequest | 匹配所有请求路径
* access | SpringEl表达式结果为true时可以访问
* anonymous | 匿名可以访问
* denyAll | 用户不能访问
* fullyAuthenticated | 用户完全认证可以访问（非remember-me下自动登录）
* hasAnyAuthority | 如果有参数，参数表示权限，则其中任何一个权限可以访问
* hasAnyRole | 如果有参数，参数表示角色，则其中任何一个角色可以访问
* hasAuthority | 如果有参数，参数表示权限，则其权限可以访问
* hasIpAddress | 如果有参数，参数表示IP地址，如果用户IP和参数匹配，则可以访问
* hasRole | 如果有参数，参数表示角色，则其角色可以访问
* permitAll | 用户可以任意访问
* rememberMe | 允许通过remember-me登录的用户访问
* authenticated | 用户登录后可访问
*/
@Override
protected void configure(HttpSecurity httpSecurity) throws Exception {
httpSecurity
// CSRF禁用，因为不使用session
.csrf().disable()
// 认证失败处理类
.exceptionHandling().authenticationEntryPoint(unauthorizedHandler).and()
// 基于token，所以不需要session
.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()
// 过滤请求
.authorizeRequests()
// 对于登录login 验证码captchaImage 允许匿名访问
.antMatchers("/login", "/captchaImage").anonymous()
.antMatchers(
HttpMethod.GET,
"/*.ttf",
"/*.woff",
"/*.gif",
"/*.eot",
"/*.json",
"/*.woff2",
"/*.png",
"/*.ico",
"/*.svg",
"/*.jpg",
"/*.html",
"/**/*.ttf",
"/**/*.woff",
"/**/*.gif",
"/**/*.eot",
"/**/*.json",
"/**/*.woff2",
"/**/*.png",
"/**/*.ico",
"/**/*.svg",
"/**/*.jpg",
"/**/*.html",
"/**/*.css",
"/**/*.js"
).permitAll().
antMatchers(
//mybatis复习相关的接口全部放行,同学们可以通过postMan进行测试而不需要进行权限认证
"/review/**",
"/review"
).permitAll()
.antMatchers("/common/downloadByMinio**").permitAll()
.antMatchers("/profile/**").anonymous()
.antMatchers("/common/download**").anonymous()
.antMatchers("/common/download/resource**").anonymous()
.antMatchers("/webjars/**").anonymous()
.antMatchers("/*/api-docs").anonymous()
.antMatchers("/druid/**").anonymous()
// 除上面外的所有请求全部需要鉴权认证
.anyRequest().authenticated()
.and()
.headers().frameOptions().disable();
httpSecurity.logout().logoutUrl("/logout").logoutSuccessHandler(logoutSuccessHandler);
// 添加JWT filter
httpSecurity.addFilterBefore(authenticationTokenFilter, UsernamePasswordAuthenticationFilter.class);
// 添加CORS filter
httpSecurity.addFilterBefore(corsFilter, JwtAuthenticationTokenFilter.class);
httpSecurity.addFilterBefore(corsFilter, LogoutFilter.class);
}
上面有个jwt的过滤器
里面继承了一个类
如果请求中有token则放行
2).添加权限
那么 它是怎么添加权限的那？我们点进参数里看看...
可以看到里面是个接口，返回对象是个
咦。。。这个是不是放用户名和密码 和权限的那，那么看看它的实现类是怎么写的吧
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
SysUser user = userService.selectUserByUserName(username);
if (StringUtils.isNull(user)) {
log.info("登录用户：{} 不存在.", username);
throw new UsernameNotFoundException("登录用户：" + username + " 不存在");
}
else if (UserStatus.DELETED.getCode().equals(user.getDelFlag())) {
log.info("登录用户：{} 已被删除.", username);
throw new BaseException("对不起，您的账号：" + username + " 已被删除");
}
else if (UserStatus.DISABLE.getCode().equals(user.getStatus())) {
log.info("登录用户：{} 已被停用.", username);
throw new BaseException("对不起，您的账号：" + username + " 已停用");
}
return createLoginUser(user);
}
可以看到首先根据用户名去查对象，并做了一系列判断，最后通过之后调用了这个方法
这个完成对象的初始化，那么这个调用的service又是干什么的那？
这个是把该用户所对应的全部权限，从数据库中查询出来存入集合中，完成对象初始化的
我们再回到之前的配置类
至此，该用户的所拥有的全部权限就获取到了，完成了每个用户所看到的界面不一样的情况，但是这个还要结合一个注解来使用
@PreAuthorize("@ss.hasPermi('clues:course:list')")
这个注解为 spring security 的原生注解 里面返回布尔类型数据，为true就走这个方法
点进去有这么个方法，是不是很熟悉，集合参数里放的就是刚才该用户的权限列表集合，如果包含传进来的字符串，则返回true让其访问，至此功能就实现了
2.SpringBoot中JWT是如何使用的
JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。
一个JWT实际上就是一个字符串，它由三部分组成，头部、载荷与签名。中间用点（.）分隔成三个部分。注意JWT 内部是没有换行的。
2.1.优点
基于token的验证方式它有什么优点吗？
支持跨域访问，Cookie是不允许跨域访问的，这一点对Token机制是不存在的，前提是传输的用户认证信息通过HTTP头传输.
无状态:Token机制在服务端不需要存储session信息，因为Token自身包含了所有登录用户的信息，只需要在客户端的cookie或本地介质存储状态信息.
解耦 不需要绑定到一个特定的身份验证方案。Token可以在任何地方生成，只要在你的API被调用的时候，你可以进行Token生成调用即可.
适用性更广：只要是支持http协议的客户端，就可以使用token认证。
服务端只需要验证token的安全，不必再去获取登录用户信息，因为用户的登录信息已经在token信息中。
基于标准化:你的API可以采用标准化的 JSON Web Token (JWT).
2.1.1.组成
一个JWT实际上就是一个字符串，它由三部分组成，头部、载荷与签名。中间用点（.）分隔成三个部分。注意JWT 内部是没有换行的。
2.2.使用
1).当前端传过来登录请求数据时，把对象生成Token存起来
public String createToken(LoginUser loginUser) {
String token = IdUtils.fastUUID();
loginUser.setToken(token);
setUserAgent(loginUser);
refreshToken(loginUser);
Map<String, Object> claims = new HashMap<>();
claims.put(Constants.LOGIN_USER_KEY, token);
//存放非敏感信息
claims.put("username",loginUser.getUsername());
claims.put("nickName",loginUser.getUser().getNickName());
claims.put("createTime",loginUser.getUser().getCreateTime());
return createToken(claims);
}
这里用了两个方法
第一个：
/**
* 设置用户代理信息
*
* @param loginUser 登录信息
*/
public void setUserAgent(LoginUser loginUser)
{
UserAgent userAgent = UserAgent.parseUserAgentString(ServletUtils.getRequest().getHeader("User-Agent"));
String ip = IpUtils.getIpAddr(ServletUtils.getRequest());
loginUser.setIpaddr(ip);
loginUser.setLoginLocation(AddressUtils.getRealAddressByIP(ip));
loginUser.setBrowser(userAgent.getBrowser().getName());
loginUser.setOs(userAgent.getOperatingSystem().getName());
}
设置代理信息
第二个：
/**
* 刷新令牌有效期
*
* @param loginUser 登录信息
*/
public void refreshToken(LoginUser loginUser)
{
loginUser.setLoginTime(System.currentTimeMillis());
loginUser.setExpireTime(loginUser.getLoginTime() + expireTime * MILLIS_MINUTE);
// 根据uuid将loginUser缓存
String userKey = getTokenKey(loginUser.getToken());
redisCache.setCacheObject(userKey, loginUser, expireTime, TimeUnit.MINUTES);
}
刷新令牌有效期，并将对象存入Redis中
最后调用了这个方法，返回生成的令牌
/**
* 从数据声明生成令牌
*
* @param claims 数据声明
* @return 令牌
*/
private String createToken(Map<String, Object> claims)
{
String token = Jwts.builder()
.setClaims(claims)
.signWith(SignatureAlgorithm.HS512, secret).compact();
return token;
}
secret为签名，保证数据安全性
2).接下来我们看看如何取出来
可以看到我们传进去的是一个HttpServletRequest请求，因为我们把Token放请求头里了，那么我们点进去看看，是怎么取的
这个方法总共调用了这三个方法，最终取出来了user对象，接下来一步一步看吧
第一个方法获取Token字符串
第二个方法根据Token字符串获取集合
第三个方法根据Token存入的唯一的UUID获得存入缓存中的key
最终取到user对象，至此Token存取完成。
以上为个人梳理，有不对的地方还请指正
