说说如何使用 Spring Security 自定义账户权限体系

短命女 2022-12-11 12:30 179阅读 0赞

如果使用之前说过的基于 JDBC 的认证方案，那么必须遵循一定的规范，比如字段名名称限制等等。所以如果需要完全自定义，我们可以使用直接 Spring Data Repository。

Craig Walls 举了这样一个示例，来说明如何自定义账户权限体系。

## 1 定义账户实体类 ##

@Entity
    @Data
    @NoArgsConstructor(access = AccessLevel.PRIVATE, force = true)
    @RequiredArgsConstructor
    public class User implements UserDetails {
    
        private static final long serialVersionUID = 1L;
    
        @Id
        @GeneratedValue(strategy = GenerationType.AUTO)
        private Long id;
    
        private final String username;
        private final String password;
        private final String fullname;
        private final String street;
        private final String city;
        private final String state;
        private final String zip;
        private final String phoneNumber;
    
    
        @Override
        public Collection<? extends GrantedAuthority> getAuthorities() {
            return Arrays.asList(new SimpleGrantedAuthority("ROLE_USER"));
        }
    
        @Override
        public String getPassword() {
            return null;
        }
    
        @Override
        public String getUsername() {
            return null;
        }
    
        @Override
        public boolean isAccountNonExpired() {
            return true;
        }
    
        @Override
        public boolean isAccountNonLocked() {
            return true;
        }
    
        @Override
        public boolean isCredentialsNonExpired() {
            return true;
        }
    
        @Override
        public boolean isEnabled() {
            return true;
        }
    }

除了定义了一些账户基本属性之外， User 类还实现了 Spring Security 的 UserDetails 接口。该接口定义一些与权限有关的方法。

<table> 
 <thead> 
  <tr> 
   <th>方法名</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>getAuthorities</td> 
   <td>返回该账户被授予的权限集合</td> 
  </tr> 
  <tr> 
   <td>isAccountNonExpired</td> 
   <td>账户是否未过期</td> 
  </tr> 
  <tr> 
   <td>isAccountNonLocked</td> 
   <td>账户是否未被锁定</td> 
  </tr> 
  <tr> 
   <td>isCredentialsNonExpired</td> 
   <td>账户凭证是否未过期</td> 
  </tr> 
  <tr> 
   <td>isEnabled</td> 
   <td>账户是否可用</td> 
  </tr> 
 </tbody> 
</table>

示例代码中，以上这些方法全部返回 TRUE，即允许该账户登录使用。

## 2 账户 Repository 接口 ##

public interface UserRepository extends CrudRepository<User,Long> {
    
        User findByUsername(String username);
    }

Spring Data JPA 会在运行时自动生成账户 Repository 接口的实现类。这种方式的好处是不需要写代码。

## 3 账户 Service 接口 ##

Spring Security 本身定义了 UserDetailsService 接口，代码如下：

public interface UserDetailsService {
    
        UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
    }

Service接口中定义了一个依据账号名获取账号的方法。如果找不到相应账号，就会抛出 UsernameNotFoundException 异常。

UserDetailsService 是Spring Security 定义的接口。

定义 UserDetailsService 的实现类：

@Service
    public class UserRepositoryUserDetailsService implements UserDetailsService {
    
        private UserRepository userRepository;
    
        @Autowired
        public UserRepositoryUserDetailsService(UserRepository userRepository) {
            this.userRepository = userRepository;
        }
    
    
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
            User user = userRepository.findByUsername(username);
            if (user != null) {
                return user;
            } else {
                throw new UsernameNotFoundException("User '" + username + "' not found");
            }
        }
    }

UserDetailsService 的实现类通过构造器方式将UserRepository 注入进来。然后在 loadUserByUsername 方法中通过 UserRepository 的 findByUsername 方法来查询账户对象。  
UserDetailsService 的实现类使用了 @Service 注解，这样 Spring 应用启动时，就会将其初始化为一个 bean。

接下来需要把 UserDetailsService 服务与 Spring Security 绑定起来。在 SecurityConfig 类中，注入并绑定UserDetailsService 服务：

@Autowired
      UserDetailsService userDetailsService;
    
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService);
    }

与 JDBC 方式一样，我们也可以配置密码编码器，这样存放在数据库中的密码就是密文的。

@Bean
        public PasswordEncoder encoder() {
            return new BCryptPasswordEncoder(6);
    }
    
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    		auth.userDetailsService(userDetailsService)
            .passwordEncoder(encoder());
    }

首先定义一个返回 PasswordEncoder 对象的方法，然后调用passwordEncoder() 方法，该方法的入参是PasswordEncoder 对象，这样 AuthenticationManagerBuilder 对象就装配上了密码编码器。

因为encoder() 方法定义了 @Bean 注解，所以对encoder() 方法的调用都会被 Spring 拦截，接着 Spring 框架会返回应用上下文中的 PasswordEncoder bean 实例。

--------------------

通过以上方式，我们就可以实现自定义 Spring Security 权限体系。