你真的知道Spring Security安全框架吗？

桃扇骨 2024-04-01 19:21 93阅读 0赞

**1、什么是安全管理框架？**

解决系统安全问题的框架。如果没有安全框架，我们需要手动处理每个资源的访问控制，非常麻烦。使 用安全框架，我们可以通过配置的方式实现对资源的访问限制。 安全框架，简单说是对访问权限进行控制，应用的安全性包括用户认证（Authentication）和用户授权 （Authorization）两个部分。

**安全框架能做什么？**

登录验证 —— 轻松登录鉴权，并提供五种细分场景值

权限验证 —— 适配RBAC权限模型，不同角色不同授权

踢人下线 —— 将违规用户立刻清退下线

持久层扩展 —— 可集成Redis、Memcached等专业缓存中间件，重启数据不丢失

分布式会话 —— 提供jwt集成和共享数据中心两种分布式会话方案

单点登录 —— 一处登录，处处通行

注解式鉴权 —— 优雅的将鉴权与业务代码分离

路由拦截式鉴权 —— 根据路由拦截鉴权，可适配restful模式

会话治理 —— 提供方便灵活的会话查询接口

记住我模式 —— 适配\[记住我\]模式，重启浏览器免验证

密码加密 —— 提供密码加密模块，可快速MD5、SHA1、SHA256、AES、RSA加密

组件自动注入 —— 零配置与Spring等框架集成

**2、企业中使用的主流安全框架**

市面上主流的安全管理框架Shiro、SpringSecurity、Sa-Token

在sping boot发布之前之前shiro是市场的绝对主流 直到有一天 Spring Boot 像谜一般出现在江湖边缘，彻底颠覆了 JavaEE 的世界。一人得道鸡犬升天，自 从 Spring Boot 火了之后，Spring 家族的产品都被带了一把，Spring Security 就是受益者之一，从此飞 上枝头变凤凰。

Spring Boot/Spring Cloud 现在作为 Java 开发领域最最主流的技术栈，这一点大家应该都没有什么异 议，而在 Spring Boot/Spring Cloud 中做安全管理，Spring Security 无疑是最方便的。 而sa-Token呢，则算是后期之秀，与其他框架相比

1. 简单 ：可零配置启动框架，真正的开箱即用，低成本上手

2. 强大 ：目前已集成几十项权限相关特性，涵盖了大部分业务场景的解决方案

3. 易用 ：如丝般顺滑的API调用，大量高级特性统统只需一行代码即可实现

4. 高扩展 ：几乎所有组件都提供了扩展接口，90%以上的逻辑都可以按需重写

首先我要声明一点，框架无所谓好坏，关键是适合当前项目场景，作为一个年轻的程序员更不应该厚此 薄彼，或者拒绝学习某一个框架。 小孩子才做选择题，成年人两个都要学！

**3.为什么选择spring security？**

功能全：API完整；成熟的身份认证和用户授权方案；支持缓存；可以前后端分离，适应市场；可 以单独使用 搭配技术多：配合spring boot，JWT，OAuth2 授权服务，RBAC角色访问模型等技术或模型更方 便快捷 社区资源丰富：遇到问题，可以轻松找到成熟的解决方案；学习资料容易获取； 对于spring更友好：充分利用Spring IoC，DI，和AOP的功能

「有的人觉得 Spring Security 配置臃肿。」

如果是 SSM + Spring Security 的话，我觉得这话有一定道理。但是如果是 Spring Boot 项目的话，其实 并不见得臃肿。Spring Boot 中，通过自动化配置 starter 已经极大的简化了 Spring Security 的配置， 我们只需要做少量的定制的就可以实现认证和授权了，一会大家看我给大家演示快速入门就知道了

「有人觉得 Spring Security 中概念复杂。」

这个是这样的，没错。

Spring Security 由于功能比较多，就显得比较重量级，不像 Shiro 那样轻便。 但是如果换一个角度，你可能会有不一样的感受。 在 Spring Security 中你会学习到许多安全管理相关的概念，以及常见的安全攻击。这些安全攻击，如果 你不是 web 安全方面的专家，很多可能存在的 web 攻击和漏洞你可能很难想到，而 Spring Security 则 把这些安全问题都给我们罗列出来并且给出了相应的解决方案。 所以我说，我们学习 Spring Security 的过程，也是在学习 web 安全，各种各样的安全攻击、各种各样 的登录方式、各种各样你能想到或者想不到的安全问题，Spring Security 都给我们罗列出来了，并且给 出了解决方案，从这个角度来看，你会发现 Spring Security 好像也不是那么让人讨厌。

结合微服务的优势

除了前面和大家介绍的 Spring Security 优势，在微服务中，Spring 官方推出了 Spring Cloud Security

和 Spring Cloud OAuth2，结合微服务这种分布式特性，可以让我们更加方便的在微服务中使用 Spring Security 和 OAuth2

可以看到，Spring 官方一直在积极进取，让 Spring Security 能够更好的集成进微服务中。

### 、怎么开始学习Spring Security ###

**具体参考教程：[后台系统权限管理设计实战][Link 1]**

Spring Security快速入门

1、导入依赖

Spring Security已经被Spring boot进行集成，使用时直接引入启动器即可。

org.springframework.boot

spring-boot-starter-security

2、访问页面

导入[spring-boot-starter-security][]启动器后，Spring Security已经生效，默认拦截全部请求，如果用户 没有登录，跳转到内置登录页面。 在项目中新建login.html页面后 在浏览器输入：http://localhost:8080/login.html后会显示下面页面

![505fab77a297f2c85cc897b9352a5d8d.png][]

默认的username为user，password打印在控制台中。当然了，同学们显示的肯定和我的不一样。

![a39b905027d8ee6b05b670fb15309a43.jpeg][]

在浏览器中输入账号和密码后会显示login.html页面内容。

#### **3、修改默认配置**  ####

1.修改默认密码

Security默认用户是user，密码是通过UUID随机生成。添加这些配置项，

UserDetailsServiceAutoConfiguration会基于配置信息在内存中创建一个用户user，如果没有配置，

UserDetailsServiceAutoConfiguration会自动在内存中创建一个密码用UUID随机生成的user用户。 通过修改application.properties(application.yml)

spring:

security:

user:

name: admin

password: admin

#### 2.自定义登录页面 ####

虽然Spring Security给我们提供了登录页面，但是对于实际项目中，大多喜欢使用自己的登录页面。所 以Spring Security中不仅仅提供了登录页面，还支持用户自定义登录页面。实现过程也比较简单，只需 要修改配置类即可。 说明：在上面代码基础上进行修改

1.添加[thymeleaf][]的依赖

2.编写登录页面

在resources下新建templates文件夹。其中fail.html和success.html都只有一句话，分别是：“登录失 败”和“登录成功” login.html

![f23076530a2ce95b27356fe21d1ddd47.png][]

**3.编写控制器**

新建一个IndexController

三个方法都是只有显示页面的功能。因为Thymeleaf页面必须通过控制器显示。如果示例代码是拿纯

HTMl静态页面演示，是不需要写这些控制器。

org.springframework.boot

spring-boot-starter-thymeleaf

lang="en">

charset="UTF-8">

action="/login" method="post">

用户名： type="text" name="username"/>

密码： type="password" name="password"/>

type="submit" value="提交"/>

@Controller

public class IndexController \{

**4.创建SecurityConfig配置类**

在以往Spring Security的教程中我们自定义配置都是声明一个配置类

WebSecurityConfigurerAdapter ，然后覆写（ @Override ）对应的几个方法就行了。 然而这一切在Spring Security 5.4开始就得到了改变，从Spring Security 5.4 起我们不需要继承

WebSecurityConfigurerAdapter 就可以配置 HttpSecurity 了

@RequestMapping("/") public String showLogin() \{ return "login"; \} @RequestMapping("/success") public String success() \{ return "success"; \} @RequestMapping("/fail") public String fail() \{ return "fail"; \} \} /\*\*

\* SpringSecurity的配置

\*/

@Configuration

@EnableWebSecurity

@EnableGlobalMethodSecurity(prePostEnabled = true) public class OldSecurityConfig extends WebSecurityConfigurerAdapter \{ \}

@Configuration

public class SecurityConfig \{ @Bean

SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception \{ httpSecurity.formLogin() // 哪个URL为登录页面

.loginPage("/") // 当发现什么URL时执行[登录逻辑][Link 2]

.loginProcessingUrl("/login") // 登录成功页

.successForwardUrl("/success") // 登录失败页

.failureForwardUrl("/fail"); // 设置URL的[授权问题][Link 3] 多个条件取交集

httpSecurity.authorizeRequests() // 匹配 / 控制器 permitAll() 不需要被认证就可以访问

.antMatchers("/").permitAll() // anyRequest() 所有请求 authenticated() 必须被认证

#### 4、数据库访问方式 ####

创建表并插入默认数据

创建用户对象

创建相应的mapper

.anyRequest().authenticated(); // 关闭[csrf][]

httpSecurity.csrf().disable(); return httpSecurity.build(); \} \}

\-- ---------------------------- -- Table structure for ums\_admin -- ----------------------------

DROP TABLE IF EXISTS \`ums\_admin\`;

CREATE TABLE \`ums\_admin\` (

\`id\` bigint(20) NOT NULL AUTO\_INCREMENT, \`username\` [varchar][](64) CHARACTER SET utf8 COLLATE utf8\_general\_ci NULL DEFAULT

NULL, \`password\` varchar(64) CHARACTER SET utf8 COLLATE utf8\_general\_ci NULL DEFAULT

NULL, PRIMARY KEY (\`id\`) USING BTREE

) ENGINE = InnoDB AUTO\_INCREMENT = 2 CHARACTER SET = utf8 COLLATE = utf8\_general\_ci COMMENT = '后台用户表' ROW\_FORMAT = Dynamic;

\-- ---------------------------- -- Records of ums\_admin -- ----------------------------

INSERT INTO \`ums\_admin\` VALUES (1, 'root',

'$2a$10$IXM8dvRox2Po40xNyvLJW.Txc3Ia9TOutQgKm0mk20l1T/azhiypa');

@Data @TableName("ums\_admin")

public class UmsAdmin implements Serializable \{ private static final long serialVersionUID = 1L; @TableId(value = "id", type = IdType.AUTO) private Long id; private String username; private String password; \}

public interface UmsAdminMapper extends BaseMapper<UmsAdmin> \{ \}

创建serviceImpl实现UserDetailsService

这边我们用的是[mybatis-plus][]，这部分不是今天的重点，这里我就不赘述了

创建配置文件CommonSecurityConfig

@Service @Log4j2

public class UmsAdminServiceImpl implements UserDetailsService \{ @Autowired

private UmsAdminMapper umsAdminMapper; @Override

public UserDetails loadUserByUsername(String username) \{ //获取用户信息

UmsAdmin admin = getAdminByUsername(username); if (admin == null) \{ throw new UsernameNotFoundException("[用户名或密码错误][Link 4]"); \} return new User(username, admin.getPassword(),

AuthorityUtils.commaSeparatedStringToAuthorityList("admin")); \} /\*\*

\* 根据用户名获取后台管理员

\* @param username

\* @return

\*/

public UmsAdmin getAdminByUsername(String username) \{ QueryWrapper<UmsAdmin> wrapper = new QueryWrapper<>(); wrapper.lambda().eq(UmsAdmin::getUsername, username); List<UmsAdmin> adminList = umsAdminMapper.selectList(wrapper); if (adminList != null && adminList.size() > 0) \{ UmsAdmin admin = adminList.get(0); return admin; \} return null; \} \}

@Configuration

public class CommonSecurityConfig \{ // PasswordEncoder：SpringSecurity定义的用于对密码进行编码及比对的接口，目前使用的是

BCryptPasswordEncoder；

@Bean

public PasswordEncoder passwordEncoder() \{ return new BCryptPasswordEncoder(); \} \}

#### 5、测试效果 ####

在浏览器输入：http://localhost:8080显示登录页面。输入：账号：root，密码：root后会显示“登录成 功

[Link 1]: https://link.zhihu.com/?target=http%3A//yun.itheima.com/open/785.html
[spring-boot-starter-security]: https://www.zhihu.com/search?q=spring-boot-starter-security&search_source=Entity&hybrid_search_source=Entity&hybrid_search_extra=%7B%22sourceType%22%3A%22answer%22%2C%22sourceId%22%3A2761299030%7D
[505fab77a297f2c85cc897b9352a5d8d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/bfd90412960348ba9b8d280864e42902.png
[a39b905027d8ee6b05b670fb15309a43.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/fba4d5e9f54343c0b96faa317ce6924c.jpeg
[thymeleaf]: https://www.zhihu.com/search?q=thymeleaf&search_source=Entity&hybrid_search_source=Entity&hybrid_search_extra=%7B%22sourceType%22%3A%22answer%22%2C%22sourceId%22%3A2761299030%7D
[f23076530a2ce95b27356fe21d1ddd47.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/b7f3a7c0dbb3404db706e5f18ae40dcb.png
[Link 2]: https://www.zhihu.com/search?q=%E7%99%BB%E5%BD%95%E9%80%BB%E8%BE%91&search_source=Entity&hybrid_search_source=Entity&hybrid_search_extra=%7B%22sourceType%22%3A%22answer%22%2C%22sourceId%22%3A2761299030%7D
[Link 3]: https://www.zhihu.com/search?q=%E6%8E%88%E6%9D%83%E9%97%AE%E9%A2%98&search_source=Entity&hybrid_search_source=Entity&hybrid_search_extra=%7B%22sourceType%22%3A%22answer%22%2C%22sourceId%22%3A2761299030%7D
[csrf]: https://www.zhihu.com/search?q=csrf&search_source=Entity&hybrid_search_source=Entity&hybrid_search_extra=%7B%22sourceType%22%3A%22answer%22%2C%22sourceId%22%3A2761299030%7D
[varchar]: https://www.zhihu.com/search?q=varchar&search_source=Entity&hybrid_search_source=Entity&hybrid_search_extra=%7B%22sourceType%22%3A%22answer%22%2C%22sourceId%22%3A2761299030%7D
[mybatis-plus]: https://www.zhihu.com/search?q=mybatis-plus&search_source=Entity&hybrid_search_source=Entity&hybrid_search_extra=%7B%22sourceType%22%3A%22answer%22%2C%22sourceId%22%3A2761299030%7D
[Link 4]: https://www.zhihu.com/search?q=%E7%94%A8%E6%88%B7%E5%90%8D%E6%88%96%E5%AF%86%E7%A0%81%E9%94%99%E8%AF%AF&search_source=Entity&hybrid_search_source=Entity&hybrid_search_extra=%7B%22sourceType%22%3A%22answer%22%2C%22sourceId%22%3A2761299030%7D