spring-security 在 spring webflux 中的使用

谁践踏了优雅 2022-05-12 10:48 688阅读 0赞

# spring security 在 spring webflux 中的使用 #

spring5增加了reactive web模块，相应的在spring security中也增加了 [ \[webflux-web-security\] ][_webflux-web-security_]模块，相对于spring security 在配置和使用方面有略微的差异，下面主要说明简单的配置和自定义用户信息的配置。

### 1、基本配置 ###

import org.springframework.context.annotation.Bean;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.reactive.EnableWebFluxSecurity;
    import org.springframework.security.config.web.server.ServerHttpSecurity;
    import org.springframework.security.web.server.SecurityWebFilterChain;
    
    @Configuration
    @EnableWebFluxSecurity
    public class WebFluxSecurityConfig{ 
    
        @Bean
        public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
            http
                .authorizeExchange()
                //.pathMatchers("/loginPage").permitAll() //无需进行权限过滤的请求路径
                .anyExchange().authenticated()
                .and()
                .httpBasic().and()
                .formLogin()
                //.loginPage("/loginPage") //自定义的登陆页面
                ;
            return http.build();
        }
    }

以上配置为官方文档给出的基本配置，在项目启动的会有一串加密信息

> Using generated security password: 38bb8fb7-fd82-4bfc-8243-8e23a5ab879c

就是项目默认的用户名是：user，密码为上面这一串信息  
![这里写图片描述][70]

### 2、自定义用户信息 ###

上面的配置只有一个用户信息，如何使用数据库中的用户信息呢？[ \[官方文档\] ][Link 1]给出的默认配置如下

@EnableWebFluxSecurity
    public class HelloWebfluxSecurityConfig { 
    
        @Bean
        public MapReactiveUserDetailsService userDetailsService() {
            UserDetails user = User.withDefaultPasswordEncoder()
                .username("user")
                .password("user")
                .roles("USER")
                .build();
            return new MapReactiveUserDetailsService(user);
        }
    
        @Bean
        public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
            http
                .authorizeExchange()
                    .anyExchange().authenticated()
                    .and()
                .httpBasic().and()
                .formLogin();
            return http.build();
        }
    }

在上述方面中User.withDefaultPasswordEncoder()已经被标注为**@Deprecated**，并且这种方式在项目启动的时候把用户给定死了仍不够灵活。

> 在spring-webflux-security中提供了一个接口 **ReactiveUserDetailsService**，官方文档给出的**MapReactiveUserDetailsService**就是实现这个接口，所以我们依样画葫芦实现这个接口就能使用数据库中的用户信息了。

public interface ReactiveUserDetailsService { 
    
        /** * Find the {@link UserDetails} by username. * @param username the username to look up * @return the {@link UserDetails}. Cannot be null */
        Mono<UserDetails> findByUsername(String username);
    }

具体代码如下

import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.security.core.userdetails.ReactiveUserDetailsService;
    import org.springframework.security.core.userdetails.User;
    import org.springframework.security.core.userdetails.UserDetails;
    import org.springframework.security.crypto.factory.PasswordEncoderFactories;
    import org.springframework.security.crypto.password.PasswordEncoder;
    
    import com.jokerchen.reactiveWeb.service.UserService;
    
    import reactor.core.publisher.Mono;
    
    public class WebReactiveUserDetailsService implements ReactiveUserDetailsService{ 
    
        @Autowired
        private UserService userService;
    
        @Override
        public Mono<UserDetails> findByUsername(String username) {
            PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
            com.jokerchen.reactiveWeb.entity.User defUser = userService.findUserByUsername(username);
            UserDetails user = User.withUsername(defUser.getUsername())
                .password(encoder.encode(defUser.getPassword()))
                .roles(defUser.getRole())
                .build();
            return Mono.just(user);
        }
    
    }

> 上述代码中密码加密使用了**PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();**这是spring security提供的默认的加密方式，这样就可以不使用**withDefaultPasswordEncoder**这个已经过期的方法。

个人原创，转载请注明 [https://blog.csdn.net/Joker\_2007/article/details/82736183][https_blog.csdn.net_Joker_2007_article_details_82736183]

[_webflux-web-security_]: https://docs.spring.io/spring/docs/current/spring-framework-reference/web-reactive.html#webflux-web-security
[70]: /images/20220512/c4bbec7606854d94bd992db21a1d2d6d.png
[Link 1]: https://docs.spring.io/spring-security/site/docs/current/reference/html5/#jc-webflux
[https_blog.csdn.net_Joker_2007_article_details_82736183]: https://blog.csdn.net/Joker_2007/article/details/82736183