Spring boot 使用restful风格的spring security login

亦凉 2022-07-16 11:28 246阅读 0赞

## 第一步，获取基本springboot项目 ##

从 [spring官网][spring]获取security+session+redis依赖的springboot项目  
安装配置redis，修改配置文件，启动项目，拿到登录密码，用户名为user.  
根据[官方文档][Link 1]，配置demo项目，理解spring security的机制

## 第二步，添加自己的登录验证方式 ##

添加session策略，让权限验证从session里获取token，而不是默认的cookie  
重写自己的UserDetails，实现org.springframework.security.core.userdetails.UserDetails接口  
重写自己的UserService，实现org.springframework.security.core.userdetails.UserDetailsService  
接口，重写loadUserByUsername方法，从数据库根据username获取UserDetails  
在WebSecuirtyConfig里加入配置：

> `/** * Configure order web security with authentication manager build */ @Override public void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(hanoverUserService).passwordEncoder(bcryptEncoder); }`

## 第三步，重写过滤器，修改form方式为标准的post ##

spring security的用户密码获取在  
org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter  
的attemptAuthentication方法里，我们需要新建一个过滤器，继承UsernamePasswordAuthenticationFilter过滤器，并且重写attemptAuthentication方法。  
直接从body里获取json参数：

> `ObjectMapper mapper = new ObjectMapper(); Map result = null; result = mapper.readValue(request.getReader(), Map.class); String username = (String)result.get("username"); String password = (String)result.get("password");`

然后再WebSecurityConfig里添加该filter：

> `http.addFilterBefore(customUsernamePasswordAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);`

这样的话，就会把之前的form方式变为现在的json传参。

## 第四步，添加自己的successHandle和failureHandle，用标准restful返回 ##

获取参数的方式修改了，验证的方式也修改了，现在就来修改返回结果的方式  
新建RESTAuthenticationSuccessHandler继承SimpleUrlAuthenticationSuccessHandler  
重写onAuthenticationSuccess方法，把标准的CommonData返回结果写入response，代码如下：

> `CommonData<Map> result = new CommonData<Map>(); Map<String, Object> tokenMap = new HashMap<String, Object>(); response.setStatus(HttpStatus.OK.value()); response.setContentType(MediaType.APPLICATION_JSON_VALUE); tokenMap.put("token", request.getSession().getId()); result.setData(tokenMap); mapper.writeValue(response.getWriter(), result);`

同样，新建RESTAuthenticationFailureHandler继承SimpleUrlAuthenticationFailureHandler  
重写onAuthenticationFailure方法，把标准的commonData返回结果写入response:

> `BastDTOData result = new BastDTOData(); result.setSuccess(false); response.setStatus(HttpStatus.UNAUTHORIZED.value()); response.setContentType(MediaType.APPLICATION_JSON_VALUE); mapper.writeValue(response.getWriter(), result);`

## 第五步，解决跨域问题 ##

解决完如上问题之后，在本地和postman上都可以正常用restful风格的访问方式请求登录，但是使用前端代码进行跨域访问的时候，会有跨域问题  
在successHandle和failureHandle里，需要在header里进行如下操作：

> `final String origin = request.getHeader("origin"); if (StringUtils.isNotEmpty(origin)) { response.setHeader("Access-Control-Allow-Origin", origin); } else { response.setHeader("Access-Control-Allow-Origin", "*"); } response.setHeader("Access-Control-Allow-Credentials", "true"); response.setHeader("Access-Control-Allow-Methods", "OPTIONS,GET,PUT,POST,DELETE,HEAD"); response.setHeader("Access-Control-Allow-Headers", "content-type,access-control-request-headers,access-control-request-method,accept,origin,authorization,x-requested-with,serviceName,locale");`

## 其他资料 ##

RESTful authentication using Spring Security on Spring Boot, and jQuery as a web client [链接][Link 2]

Spring Boot Security Application [链接][Link 3]

REST Authentication using Spring Security & Spring Session[链接][Link 4]

Understanding CORS[链接][Link 5]

[spring]: https://start.spring.io/
[Link 1]: http://docs.spring.io/spring-session/docs/current/reference/html5/guides/rest.html#running-the-rest-sample-application
[Link 2]: http://www.codesandnotes.be/2014/10/31/restful-authentication-using-spring-security-on-spring-boot-and-jquery-as-a-web-client/
[Link 3]: http://kielczewski.eu/2014/12/spring-boot-security-application/
[Link 4]: http://www.sedooe.com/2016/04/rest-authentication-using-spring-security-and-spring-session/
[Link 5]: https://spring.io/understanding/cors