189 8069 5689
这篇文章将为大家详细讲解有关怎么在SpringBoot中使用Security实现安全认证，文章内容质量较高，因此小编分享给大家做个参考，希望大家阅读完这篇文章后对相关知识有一定的了解。
专注于为中小企业提供网站设计、成都网站建设服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业岳麓免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了成百上千企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。
一、基本环境搭建
父pom依赖
org.springframework.boot spring-boot-starter-parent 2.0.3.RELEASE
1. 添加pom依赖：
org.springframework.boot spring-boot-starter-security
2. 创建测试用Controller
@RestController
public class TestController {
@GetMapping("getData")
public String getData() {
return "date";
}
}3. 创建SpringBoot启动类并run
@SpringBootApplication
public class SpringBootTestApplication {
public static void main(String[] args) {
SpringApplication.run(SpringBootTestApplication.class, args);
}
}4. 测试
访问http://127.0.0.1:8080/getData，由于我们开启了SpringSecurity且当前是未登录状态，页面会被302重定向到http://127.0.0.1:8080/login，页面如下：
用户名：user，密码可以在控制台输出中找到：
输入正确的用户名和密码后点击Login按钮即被重新302到http://127.0.0.1:8080/getData并显示查询数据：
这表示我们的接口已经被spring保护了。
那么肯定会有小伙伴吐槽了，这么复杂的密码，鬼才及得住，所以...
二、为Spring Security设定用户名和密码
为了解决复杂密码的问题，我们可以在application.yml中做如下设定：
spring: security: user: name: user password: 123
这样我们就可以通过用户名user密码123来访问http://127.0.0.1:8080/getData接口了。
然后肯定又有小伙伴吐槽了，整个系统就一个用户么？有哪个系统是只有一个用户的？所以...
三、为Spring Security设定多个用户
如果想要给Spring Security设定多个用户可用，则新建一个class，实现接口WebMvcConfigurer（注意：springBoot版本2.0以上，jdk1.8以上）：
@Configuration
@EnableWebSecurity
public class WebSecurityConfig {
@Bean
public UserDetailsService userDetailsService() {
InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
manager.createUser(User.withUsername("admin").password("admin").roles("").build());
manager.createUser(User.withUsername("guest").password("guest").roles("").build());
return manager;
}
}注意需要注解@EnableWebSecurity
InMemoryUserDetailsManager：顾名思义，将用户名密码存储在内存中的用户管理器。我们通过这个管理器增加了两个用户，分别是：用户名admin密码admin，用户名guest密码guest。
做完如上更改后重启应用，再次访问http://127.0.0.1:8080/getData，输入admin/admin或guest/guest即可通过身份验证并正常使用接口了。
看到这肯定又有小伙伴要吐槽了：用户数据直接硬编码到代码里是什么鬼！我要把用户放在数据库！所以...
四、SpringSecurity+MySQL
想要使用数据库，那么我们可以
1. 增加如下依赖：
org.springframework.boot spring-boot-starter-jdbc mysql mysql-connector-java
2. 配置数据库连接
spring: datasource: driver-class-name: com.mysql.jdbc.Driver url: jdbc:mysql://192.168.2.12:3306/test?characterEncoding=utf8 username: root password: onceas
3. 创建测试用表结构及数据
drop table if exists test.user; create table test.user ( id int auto_increment primary key, username varchar(50), password varchar(50) ); insert into test.user(id, username, password) values (1, 'admin', 'admin'); insert into test.user(id, username, password) values (2, 'guest', 'guest');
我们创建了用户信息表，并插入两个用户信息，用户名/密码依然是admin/admin、guest/guest
4. entity、dao、service
public class User {
private int id;
private String username;
private String password;
// get set ...
}@Repository
public class LoginDao {
private final JdbcTemplate jdbcTemplate;
@Autowired
public LoginDao(JdbcTemplate jdbcTemplate) {
this.jdbcTemplate = jdbcTemplate;
}
public List getUserByUsername(String username) {
String sql = "select id, username, password from user where username = ?";
return jdbcTemplate.query(sql, new String[]{username}, new BeanPropertyRowMapper<>(User.class));
}
} @Service
public class LoginService {
private final LoginDao loginDao;
@Autowired
public LoginService(LoginDao loginDao) {
this.loginDao = loginDao;
}
public List getUserByUsername(String username) {
return loginDao.getUserByUsername(username);
}
} 5. 调整WebSecurityConfig
@Bean
public UserDetailsService userDetailsService() {
return username -> {
List users = loginService.getUserByUsername(username);
if (users == null || users.size() == 0) {
throw new UsernameNotFoundException("用户名未找到");
}
String password = users.get(0).getPassword();
PasswordEncoder passwordEncoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
String passwordAfterEncoder = passwordEncoder.encode(password);
return User.withUsername(username).password(passwordAfterEncoder).roles("").build();
};
} 做完如上更改后重启应用，再次访问http://127.0.0.1:8080/getData，输入admin/admin或guest/guest即可通过身份验证并正常使用接口了。
关于UserDetailsService，有些东西要说明下：
PasswordEncoder passwordEncoder = PasswordEncoderFactories.createDelegatingPasswordEncoder(); String passwordAfterEncoder = passwordEncoder.encode(password);
上面这两句代码是在对用户密码进行加密。为什么要这样子呢？看到这肯定又有小伙伴会吐槽：数据库存储铭文密码是什么鬼！对，Spring也是尽量在帮助开发者避免这个事情。所以SpringSecurity在进行密码比对的时候需要开发者提供加密后的密码。我们上面的写法其实是不合理的，实际情况应该是数据库中存储密文密码，然后将数据库中的密码直接传给User.password()就可以了。
6. 关于SpringSecurity加密后的密文格式
我们可以通过打断点的方式或者增加
System.out.println(username + "---->>>" + passwordAfterEncoder);
来查看下，如果admin/admin被登录时候，passwordAfterEncoder的值是什么？输出结果：
admin---->>>{bcrypt}$2a$10$d4VkiIfP7MyNSipjLtQ0Keva4ST6U6Fnw77iiv39IGnGswptqWRG.
guest---->>>{bcrypt}$2a$10$8jRMbiGzFIS4GU3SWAm83eWgFO29EEb5QhXOEkPEaabw5Oiy/jxUC
可以看出加密后的密码可以分为两部分
{}内描述了加密算法，这里为bcrypt算法。{}后面即为密文密码，这里是包含盐的。
所以SpringSecurity的工作原理就是：当用户输入用户名和密码点击Login以后，SpringSecurity先通过调用我们自定义的UserDetailsService获取到加密后密码，然后根据{}里的内容获知加密算法，再将用户输入的密码按照该算法进行加密，最后再与{}后的密文密码比对即可获知用户凭据是否有效。
通过查看PasswordEncoderFactories的源码，我们可以知道SpringEncoder工具可以提供哪些加密算法：
public static PasswordEncoder createDelegatingPasswordEncoder() {
String encodingId = "bcrypt";
Map encoders = new HashMap<>();
encoders.put(encodingId, new BCryptPasswordEncoder());
encoders.put("ldap", new LdapShaPasswordEncoder());
encoders.put("MD4", new Md4PasswordEncoder());
encoders.put("MD5", new MessageDigestPasswordEncoder("MD5"));
encoders.put("noop", NoOpPasswordEncoder.getInstance());
encoders.put("pbkdf2", new Pbkdf2PasswordEncoder());
encoders.put("scrypt", new SCryptPasswordEncoder());
encoders.put("SHA-1", new MessageDigestPasswordEncoder("SHA-1"));
encoders.put("SHA-256", new MessageDigestPasswordEncoder("SHA-256"));
encoders.put("sha256", new StandardPasswordEncoder());
return new DelegatingPasswordEncoder(encodingId, encoders);
} 其中LdapShaPasswordEncoder、Md4PasswordEncoder、MessageDigestPasswordEncoder、NoOpPasswordEncoder、StandardPasswordEncoder已经不建议使用了。SpringSecurity认为：
Digest based password encoding is not considered secure. //基于摘要的密码编码被认为是不安全的
五 、权限控制
以上内容我们只解决了用户登录问题，但是实际开发中仅仅完成用户登录是不够的，我们还需要用户授权及授权验证。由于我们已经将用户信息存储到数据库里了，那么姑且我们也将权限信息存储在数据库吧。
1. 准备数据库表及测试数据
drop table if exists test.role; create table test.role ( id int auto_increment primary key, role varchar(50) ); drop table if exists test.permission; create table test.permission ( id int auto_increment primary key, permission varchar(50) ); drop table if exists test.user_r_role; create table test.user_r_role ( userid int, roleid int ); drop table if exists test.role_r_permission; create table test.role_r_permission ( roleid int, permissionid int ); drop table if exists test.user_r_permission; create table test.user_r_permission ( userid int, permissionid int ); insert into test.role(id, role) values (1, 'adminRole'); insert into test.role(id, role) values (2, 'guestRole'); insert into test.permission(id, permission) values (1, 'permission1'); insert into test.permission(id, permission) values (2, 'permission2'); insert into test.permission(id, permission) values (3, 'permission3'); insert into test.permission(id, permission) values (4, 'permission4'); insert into test.user_r_role(userid, roleid) values (1, 1); insert into test.user_r_role(userid, roleid) values (2, 2); insert into test.role_r_permission(roleid, permissionid) values (1, 1); insert into test.role_r_permission(roleid, permissionid) values (1, 2); insert into test.user_r_permission(userid, permissionid) values (1, 3); insert into test.user_r_permission(userid, permissionid) values (1, 4); insert into test.user_r_permission(userid, permissionid) values (2, 3); insert into test.user_r_permission(userid, permissionid) values (2, 4);
role：角色信息表，permission权限信息表，user_r_role用户所属角色表，role_r_permission角色拥有权限表，user_r_permission用户拥有权限表。
由于用户有所属角色且角色是有权限的，用户同时又单独拥有权限，所以用户最终拥有的权限取并集。
用户admin最终拥有角色adminRole以及权限：permission1、permission2、permission3、permission4
用户guest最终拥有角色guestRole以及权限：permission3、permission4
2. Dao、Service
dao增加方法：根据用户名查角色以及根据用户名查权限
public ListgetPermissionsByUsername(String username) { String sql = "select d.permission\n" + "from user a\n" + " join user_r_role b on a.id = b.userid\n" + " join role_r_permission c on b.roleid = c.roleid\n" + " join permission d on c.permissionid = d.id\n" + "where a.username = ?\n" + "union\n" + "select c.permission\n" + "from user a\n" + " join user_r_permission b on a.id = b.userid\n" + " join permission c on b.permissionid = c.id\n" + "where a.username = ?"; return jdbcTemplate.queryForList(sql, new String[]{username, username}, String.class); } public List getRoleByUsername(String username) { String sql = "select c.role\n" + "from user a\n" + " join user_r_role b on a.id = b.userid\n" + " join role c on b.roleid = c.id\n" + "where a.username = ?"; return jdbcTemplate.queryForList(sql, new String[]{username}, String.class); }
service增加方法：根据用户名查角色以及根据用户名查权限
public ListgetPermissionsByUsername(String username) { return loginDao.getPermissionsByUsername(username); } public List getRoleByUsername(String username) { return loginDao.getRoleByUsername(username); }
3. WebSecurityConfig
（1）调整public UserDetailsService userDetailsService()方法，在构建用户信息的时候把用户所属角色和用户所拥有的权限也填充上（最后return的时候）。
@Bean
public UserDetailsService userDetailsService() {
return username -> {
List users = loginService.getUserByUsername(username);
if (users == null || users.size() == 0) {
throw new UsernameNotFoundException("用户名未找到");
}
String password = users.get(0).getPassword();
PasswordEncoder passwordEncoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
String passwordAfterEncoder = passwordEncoder.encode(password);
System.out.println(username + "/" + passwordAfterEncoder);
List roles = loginService.getRoleByUsername(username);
List permissions = loginService.getPermissionsByUsername(username);
String[] roleArr = new String[roles.size()];
String[] permissionArr = new String[permissions.size()];
return User.withUsername(username).password(passwordAfterEncoder).
roles(roles.toArray(roleArr)).authorities(permissions.toArray(permissionArr)).
build();
};
} 这里面有个坑，就是红色代码部分。具体可查看org.springframework.security.core.userdetails.User.UserBuilder。roles()方法和authorities()方法实际上都是在针对UserBuilder的authorities属性进行set操作，执行roles("roleName")和执行authorities("ROLE_roleName")是等价的。所以上例代码中roles(roles.toArray(roleArr))起不到任何作用，直接被后面的authorities(permissions.toArray(permissionArr))覆盖掉了。
所以正确的写法可参考：
@Bean
public UserDetailsService userDetailsService() {
return username -> {
List users = loginService.getUserByUsername(username);
if (users == null || users.size() == 0) {
throw new UsernameNotFoundException("用户名未找到");
}
String password = users.get(0).getPassword();
PasswordEncoder passwordEncoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
String passwordAfterEncoder = passwordEncoder.encode(password);
System.out.println(username + "/" + passwordAfterEncoder);
List roles = loginService.getRoleByUsername(username);
List permissions = loginService.getPermissionsByUsername(username);
String[] permissionArr = new String[roles.size() + permissions.size()];
int permissionArrIndex = 0;
for (String role : roles) {
permissionArr[permissionArrIndex] = "ROLE_" + role;
permissionArrIndex++;
}
for (String permission : permissions) {
permissionArr[permissionArrIndex] = permission;
permissionArrIndex++;
}
return User.withUsername(username).password(passwordAfterEncoder).authorities(permissionArr).build();
};
} （2）增加新的bean，为我们需要的保护的接口设定需要权限验证：
@Bean
public WebSecurityConfigurerAdapter webSecurityConfigurerAdapter() {
return new WebSecurityConfigurerAdapter() {
@Override
public void configure(HttpSecurity httpSecurity) throws Exception {
httpSecurity.
authorizeRequests().antMatchers("/guest/**").permitAll().
and().authorizeRequests().antMatchers("/admin/**").hasRole("admin").
and().authorizeRequests().antMatchers("/authenticated/**").authenticated().
and().authorizeRequests().antMatchers("/permission1/**").hasAuthority("permission1").
and().authorizeRequests().antMatchers("/permission2/**").hasAuthority("permission2").
and().authorizeRequests().antMatchers("/permission3/**").hasAuthority("permission3").
and().authorizeRequests().antMatchers("/permission4/**").hasAuthority("permission4").
and().formLogin().
and().authorizeRequests().anyRequest().permitAll();
}
};
}/guest/**的接口会被允许所有人访问，包括未登录的人。
/admin/**的接口只能被拥有admin角色的用户访问。
/authenticated/**的接口可以被所有已经登录的用户访问。
/permission1/**的接口可以被拥有permission1权限的用户访问。/permission2/**、/permission3/**、/permission4/**同理
4. TestController
最后我们调整下TestContrller，增加几个接口以便测试：
@RestController
public class TestController {
@GetMapping("getData")
public String getData() {
return "date";
}
@GetMapping("authenticated/getData")
public String getAuthenticatedData() {
return "authenticatedData";
}
@GetMapping("admin/getData")
public String getAdminData() {
return "adminData";
}
@GetMapping("guest/getData")
public String getGuestData() {
return "guestData";
}
@GetMapping("permission1/getData")
public String getPermission1Data() {
return "permission1Data";
}
@GetMapping("permission2/getData")
public String getPermission2Data() {
return "permission2Data";
}
@GetMapping("permission3/getData")
public String getPermission3Data() {
return "permission3Data";
}
@GetMapping("permission4/getData")
public String getPermission4Data() {
return "permission4Data";
}
}5. 测试
访问/guest/getData无需登录即可访问成功。
访问/authenticated/getData，会弹出用户登录页面。登录任何一个用户都可访问成功。
访问/admin/getData，会弹出用户登录页面。登录admin用户访问成功，登录guest用户会发生错误，403未授权。
其他的就不再赘述了。
六、自定义登录页面
是不是觉得SpringScurity的登录页面丑爆了？是不是想老子还能做一个更丑的登录页面你信不信？接下来我们来弄一个更丑的登录页面。
1. 增加pom依赖
org.springframework.boot spring-boot-starter-thymeleaf
2. 编写自己的登录页面
thymeleaf默认的页面放置位置为：classpath:templates/ 目录下，所以在编写代码的时候我们可以将页面放在resources/templates目录下，名称为：login.html：