[关闭]
@wangzhuanyun 2020-09-22T07:29:21.000000Z 字数 7167 阅读 1449

Spring Security （七）

springboot

Spring Security是什么?

Spring Security 提供了基于javaEE的企业应有个你软件全面的安全服务。这里特别强调支持使用SPring框架构件的项目，Spring框架是企业软件开发javaEE方案的领导者。如果你还没有使用Spring来开发企业应用程序，我们热忱的鼓励你仔细的看一看。熟悉Spring特别是一来注入原理两帮助你更快更方便的使用Spring Security

正如你可能知道的两个应用程序的两个主要区域是“认证”和“授权”（或者访问控制）。这两个主要区域是Spring Security 的两个目标。“认证”，是建立一个他声明的主题的过程（一个“主体”一般是指用户，设备或一些可以在你的应用程序中执行动作的其他系统）。“授权”指确定一个主体是否允许在你的应用程序执行一个动作的过程。为了抵达需要授权的店，主体的身份已经有认证过程建立。这个概念是通用的而不只在Spring Security中

spring security 的核心功能主要包括：

  1. 认证 （你是谁）
  2. 授权 （你能干什么）
  3. 攻击防护 （防止伪造身份）

认证（验证）就是确认用户的身份，一般采用用户名和密码的形式；授权（鉴权）就是确认用户拥有的身份（角色、权限）能否访问受保护的资源

初次体验

我们创建一个 HelloController:

  1. @RestController
  2. public class HelloController {
  3.     @GetMapping("/hello")
  4.     public String hello() {
  5.         return "hello";
  6.     }
  7. }

访问 /hello ，需要登录之后才能访问。
此处输入图片的描述

默认用户名为user 密码则是项目启动时随机生成的字符串，可以从启动的控制台日志中看到默认密码
此处输入图片的描述

这个随机生成的密码，每次启动时都会变。对登录的用户名/密码进行配置，有三种不同的方式：

  1. 在 application.properties 中进行配置
  2. 通过 Java 代码配置在内存中
  3. 通过 Java 从数据库中加载

配置文件配置用户名/密码

可以直接在 application.properties 文件中配置用户的基本信息：

  1. spring.security.user.name=user
  2. spring.security.user.password=123

配置完成后，重启项目，就可以使用这里配置的用户名/密码登录了。

Java 配置用户名/密码

也可以在 Java 代码中配置用户名密码，首先需要我们创建一个 Spring Security 的配置类，继承自 WebSecurityConfigurerAdapter 类，重写configure方法

  2. @Configuration
  3. public class SecurityConfig extends WebSecurityConfigurerAdapter {
  5.     protected void configure(AuthenticationManagerBuilder auth) throws Exception {
  6.         //配置用户名 密码 及用户角色(角色目前无用)
  7.         auth.inMemoryAuthentication().passwordEncoder(passwordEncoder()).withUser("wzy").
  8.                 password(passwordEncoder().encode("123")).roles("USER");
  9.     }
  11.     @Bean
  12.     PasswordEncoder passwordEncoder() {
  13.         return new BCryptPasswordEncoder();
  14.     }
  15. }

从 Spring5 开始，强制要求密码要加密，如果非不想加密，可以使用一个过期的 PasswordEncoder 的实例 NoOpPasswordEncoder，但是不建议这么做，毕竟不安全。
Spring Security 中提供了 BCryptPasswordEncoder 密码编码工具，可以非常方便的实现密码的加密加盐，相同明文加密出来的结果总是不同，这样就不需要用户去额外保存盐的字段。

再次登录输入设置的用户名wzy与密码123即可登录。

登录验证连接数据库

创建LoginAuthenticationProvider类，实现接口AuthenticationProvider

  2. @Component
  3. public class LoginAuthenticationProvider implements AuthenticationProvider {
  6.     @Override
  7.     public Authentication authenticate(Authentication authentication) throws AuthenticationException {
  9.    String userName = (String) authentication.getPrincipal(); //拿到username
  10.    String password = (String) authentication.getCredentials(); //拿到password
  12.         System.out.println("userName========"+userName);
  13.         System.out.println("password========"+password);
  15.         //调用service层  连接数据库 返回登录对象  此处忽略
  16.         SfAdmin sfAdmin = new SfAdmin();   
  17.         sfAdmin.setAdmin_pwd(password);
  18.         sfAdmin.setAdmin_name(userName);
  19.        //判断是否登录  未登录不进入
  20.        if(sfAdmin!=null)
  21.        {
  22.           //设置的权限必须以 ROLE开头
  23.            Collection<GrantedAuthority> authorities = AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_ADMIN");
  24.            return new UsernamePasswordAuthenticationToken(sfAdmin, sfAdmin.getAdmin_pwd(),authorities);
  25.        }
  26.         /*验证不通过*/
  27.         return null;
  28.     }
  30.     /**
  31.      * 如果该AuthenticationProvider支持传入的Authentication对象，则返回true
  32.      * @param aClass
  33.      * @return
  34.      */
  35.    @Override
  36.     public boolean supports(Class<?> aClass) {
  37.         return aClass.equals(UsernamePasswordAuthenticationToken.class);
  38.     }
  40. }

修改SecurityConfig配置类

  1. @Configuration
  2. public class SecurityConfig extends WebSecurityConfigurerAdapter {
  4.     //实例化过滤器
  5.     @Autowired
  6.     private LoginAuthenticationProvider provider; 
  9.  protected void configure(AuthenticationManagerBuilder auth) throws Exception  {
  10.        //登录调用provider 
  11.        auth.authenticationProvider(provider);
  12.  }
  15. @Override
  16. protected void configure(HttpSecurity http) throws Exception {
  17.         http
  18.                 // 关闭csrf防护
  19.                 .csrf().disable()
  20.                 .headers().frameOptions().disable()
  21.                 .and();
  22.         http
  23.                 //登录处理
  24.                 .formLogin() //表单方式，或httpBasic
  25.                 .loginPage("/login.html")  //自定义登录页面
  26.                 .loginProcessingUrl("/form") //表单提交
  27.                 .defaultSuccessUrl("/admin/hello") //成功登陆后跳转页面
  28.                 .permitAll();  //放行以上路径
  30.         http.authorizeRequests()
  31.                 .antMatchers("/").permitAll() //放行这个请求
  32.                 .antMatchers("/admin/**").hasRole("ADMIN") //admin下的页面需要ADMIN这个角色才可以访问
  33.                 .antMatchers("/user/**").hasRole("USER");
  36.     }

编写Controller进行测试

  1. @Controller
  2. @RequestMapping("/admin")
  3. public class IndexController {
  5.     @RequestMapping("/hello")
  6.     public String hello(){
  7.         return "hello";
  8.     }
  9. }
  11. @Controller
  12. @RequestMapping("/user")
  13. public class UserController {
  15.     @RequestMapping("/hello")
  16.     public String security(){
  17.         return "hello";
  18.     }
  19. }

前后端分类实现登录鉴权

创建类进行登录拦截RbacAuthorityService

  1. @Component("rbacauthorityservice")
  2. public class RbacAuthorityService {
  4.     @Resource
  5.     private Environment env;
  6.     @Resource
  7.     private StringRedisTemplate stringRedisTemplate;
  8.     /**
  9.      * 返回false时  调用AjaxAuthenticationEntryPoint类
  10.      * @param request
  11.      * @param authentication
  12.      * @return
  13.      */
  14.     public boolean hasPermission(HttpServletRequest request, Authentication authentication) {
  15.         // 获取当前请求的URI
  16.         String requestURI = request.getServletPath();
  17.         // 放开登录url
  18.         if (requestURI.equals("/admin/login")){
  19.             return true;
  20.         }
  22.         // 登录判断
  23.         String token = request.getHeader("userToken");
  25.         //token需要到redis中找  找不到也是未登录
  26.         System.out.println(token);
  28.         if (token == null ){
  29.             request.setAttribute("flagName","未登录");
  30.             return false;
  31.         }
  33.         // 权限判断  利用token获取用户登录对象  获取角色ID  通过角色ID到redis中找角色对应的权限集合
  34.         // 利用token去Redis取出当前角色的权限,这里就直接写死了
  35.         List<String> roles = new ArrayList<>();
  36.         roles.add("/admin/list");
  37.         roles.add("/admin/menu");
  39.         if (!roles.contains(requestURI)){
  40.             request.setAttribute("flagName","权限不足");
  41.             return false;
  42.         }
  43.         return true;
  45.     }
  46. }

创建AjaxAuthenticationEntryPoint类实现AuthenticationEntryPoint接口，统一返回JSON给前端

  1. /**
  2.  * 用户没有登录时返回给前端的数据
  3.  */
  4. @Component
  5. public class AjaxAuthenticationEntryPoint implements AuthenticationEntryPoint {
  6.     @Override
  7.     public void commence(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
  9.         String msgName = httpServletRequest.getAttribute("msgName").toString();
  10.         MassageJson massageJson = new MassageJson();
  12.         if (msgName.equals("未登录")){
  14.             massageJson.setCode(001);
  15.             massageJson.setMsg("未登录");
  16.         } else if (msgName.equals("权限不足")){
  18.             massageJson.setCode(002);
  19.             massageJson.setMsg("权限不足");
  20.         } else{
  21.             massageJson.setCode(003);
  22.             massageJson.setMsg("系统异常");
  23.         }
  24.         httpServletResponse.setCharacterEncoding("utf-8");
  25.         httpServletResponse.getWriter().write(JSON.toJSONString(massageJson));
  27.     }
  28. }

修改配置类SecurityConfig

  1. @Configuration
  2. @EnableWebSecurity
  3. @EnableGlobalMethodSecurity(prePostEnabled = true)
  4. public class SecurityConfig extends WebSecurityConfigurerAdapter {
  6.     /**
  7.      *  未登陆时返回 JSON 格式的数据给前端
  8.      */
  9.     @Resource
  10.     AjaxAuthenticationEntryPoint ajaxAuthenticationEntryPoint;
  13.     @Override
  14.     protected void configure(HttpSecurity http) throws Exception {
  15.         // 去掉 CSRF
  16.         http.csrf().disable()
  17.                 .exceptionHandling().authenticationEntryPoint(ajaxAuthenticationEntryPoint)
  18.                 .and()
  19.                 // 基于Token 不需要Session
  20.                 .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
  21.                 // 登录处理
  22.                 .and()
  23.                 .formLogin()
  24.                 .loginProcessingUrl("admin/login")
  25.                 .permitAll()
  27.                 //  登录和权限控制
  28.                 .and()
  29.                 .authorizeRequests()
  30.                 .anyRequest()
  31.                 // RBAC 动态 url 认证
  32.                 .access("@rbacauthorityservice.hasPermission(request,authentication)");
  33.     }
  35. }

添加注销功能

创建AjaxLogoutSuccessHandler类实现接口LogoutSuccessHandler，进行注销

  1. /**
  2.  * 退出登录
  3.  */
  4. @Component
  5. public class AjaxLogoutSuccessHandler implements LogoutSuccessHandler {
  6.     @Resource
  7.     private StringRedisTemplate stringRedisTemplate;
  9.     @Override
  10.     public void onLogoutSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
  11.         // 从这里拿到token 然后把这个token注销
  12.         String token = httpServletRequest.getHeader("userToken");
  14.         // 去redis删除token
  15.         stringRedisTemplate.delete(token);
  17.         MassageJson massageJson = new MassageJson();
  18.         massageJson.setCode(004);
  19.         massageJson.setMsg("退出成功!");
  21.         httpServletResponse.setContentType("text/html;charset=utf-8");
  22.         httpServletResponse.getWriter().write(JSON.toJSONString(massageJson));
  23.     }
  24. }

修改SecurityConfig配置类

  1.    /**
  2.      * 注销成功返回的 JSON 格式数据给前端
  3.      */
  4.     @Resource
  5.     AjaxLogoutSuccessHandler ajaxLogoutSuccessHandler;
  8.     //在configure方法下添加  注销处理
  9.     .and()
  10.     .logout()//默认注销行为为logout
  11.     .logoutUrl("/admin/loginOut") //设置调用路径
  12.     .logoutSuccessHandler(ajaxLogoutSuccessHandler)
  13.     .permitAll();
添加新批注
在作者公开此批注前，只有你和作者可见。
回复批注