SpringSecurity介绍及Demo

SpringSecurity介绍及Demo

一、什么是SpringSecurity

Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。**SpringSecurity 本质是一个过滤器链。**当中含有大量的过滤器。

1.1 用户认证（Authentication）和用户授权（Authorization）

这是安全框架最基本，也是最重要的两块东西。

• 什么是认证？
  • 简答点说就是，告诉系统你是谁？ 最基本的方式就输入账号、秘密登陆 这就是一个认证的过程
• 什么是授权
  • 简单点说就是，你能干什么？也就是你拥有的权限，一般是在认证成功之后，就会有授予权操作

1.2 基于 JWT认证授权流程图

这只是其中一种方案：之前记录过认证机制对比，``

这是现在一种常见的认证方式，并且是无状态，下次客户端访问时，就可以携带token来访问，服务端进行解析后，通过用户名信息，在redis获取权限信息。在生成token的时候，也可以根据需设置过期时间等…

二、springBoot-demo

下面来编写相关的demo，创建一个springboot项目，引入security的Spring-boot的依赖(其他忽略，详情见文末代码)

  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
   </dependency>

2.1核心配置类：

@Configuration
public class MySecurityConfig extends WebSecurityConfigurerAdapter {
    
    
		
    @Autowired
    UserDetailsService myUserServiceDetails;
		
   // 密码编码器
    @Bean
    public PasswordEncoder passwordEncoder(){
    
    
        return new BCryptPasswordEncoder();
    }
		
  // 设置自定义的UserServiceDetails，认证时会调用到这个类中，也就是进行数据库查询等
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    
    
        auth.userDetailsService(myUserServiceDetails).passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
    
    
        /**
         *设置未认证处理器
         * 未设置时：未认证的请求将会跳转到配置到登录页面
         * 设置后未认证的请求将会调用UnauthEntryPoint.commence方法
          */
       http.exceptionHandling().authenticationEntryPoint(new UnauthEntryPoint());
      
      // 登录页面
       http.formLogin().loginPage("/login.html")
               // 登录请求
               .loginProcessingUrl("/login")
               // 成功访问页面
         			 // 但是实际上前后端分离的项目，并不能直接跳转，可以定义个登录成功的json信息返回给前端
               .defaultSuccessUrl("/index")
               .permitAll()
                // 不拦截请求
               .and().authorizeRequests().antMatchers("/hello")
               .permitAll()
               .anyRequest().authenticated()
                // 关闭csrf
                .and().csrf().disable()
                // 设置token过滤器
                .addFilter(new TokenFilter())
                // 设置登录成功过滤器
                .addFilter(new AuthFilter(authenticationManager())).httpBasic();
       
       // 设置错误无权限页面，这里我自定义了一个403页面
       http.exceptionHandling().accessDeniedPage("/403");
    }
}

2.2 自定义UserDetails

这个类的核心作用就是完成认证、授权。

• 认证，查询数据库是否存在
• 授权，这个用户拥有哪些权限

@Component
public class MyUserServiceDetails implements UserDetailsService {
    
    

    @Autowired
    UserMapper userMapper;
    @Autowired
    PasswordEncoder passwordEncoder;

    /**
     * 根据用户名来验证处理
     * @param userName
     * @return
     * @throws UsernameNotFoundException
     */
    @Override
    public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException {
    
    
        QueryWrapper queryWrapper = new QueryWrapper();
        queryWrapper.eq("user_name" , userName);
        Users user = userMapper.selectOne(queryWrapper);
        if (user == null) {
    
    
            throw new UsernameNotFoundException("用户不存在");
        }
        /**
         * 设置权限列表:
         * 一般是根据用户查询到相关权限，然后进行设置
         * 从数据库中查询相关数据
         * 通常是 权限控制的5张表：
         * 1、用户表   2、用户角色表  3、角色表  4、角色权限表  5、权限表
         *  
         * 如果是角色，设置时需要使用ROLE_字符串进行拼接
         *
         */
        List<GrantedAuthority> admin = AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_admin,bookInfo");
			
      
        return new User(user.getUserName(), passwordEncoder.encode(user.getPassWord()), admin );
    }
}

2.3 接口权限设置

通常是使用注解设置，例如：

常用注解：@Secured、@PreAuthorize 会在接口访问前进行校验

/**
     * 查看人员信息
     * 只有管理员角色才能看
     *  或者使用@PreAuthorize("hasRole('ROLE_admin')") 前提需要开启@EnableGlobalMethodSecurity(prePostEnabled = true)
     * @return
     */
    @RequestMapping("/user/info")
    @ResponseBody
    @Secured({
    
    "ROLE_admin"})
    public String lookUserInfo(){
    
    
        return "lookUserInfo.....";
    }


    /**
     *  拥有bookInfo权限的才可以进行访问
     *  需要使用注解：@EnableGlobalMethodSecurity(prePostEnabled = true)
     * @return
     */
    @RequestMapping("/book/info")
    @ResponseBody
    @PreAuthorize("hasAnyAuthority('bookInfo')")
    public String bookInfo(){
    
    
        return "bookInfo.....";
    }

2.4 多因子认证

2.5 令牌

刷新令牌的作用是为了获取到一个新的令牌；

2.6 JWT登录访问控制：

1、登录发放token:

因为前后端分离项目，其实可以不采用Springsecurity内置的登录过滤，因为太重量级了，可以采用和前端直接交互的方式，后段校验通过后直接颁发一个token信息，该处理方式，轻量级，快捷。

登录校验token方式：

2、继承BasicAuthenticationFilter 判断token是否存在，如果存在解析token生成一个UsernamePasswordAuthenticationToken 认证信息(进行了进行授权，默认设置了认证为true)

3、刷新token

代码地址：

https://github.com/Liuzihao169/learn-spring-security