Spring Security 在 Spring Boot 中的使用【集中式】

朴灿烈づ我的快乐病毒、 2022-12-16 06:07 126阅读 0赞

## 1.1 准备 ##

### 1.1.1 创建 Spring Boot 项目 ###

创建好一个空的 Spring Boot 项目之后，写一个 controller 验证此时是可以直接访问到该控制器的。  
![在这里插入图片描述][20201018224932715.png]  
![在这里插入图片描述][20201018225008459.png]

### 1.1.2 引入 Spring Security ###

在 Spring Boot 中引入 Spring Security 是相当简单的，可以在用脚手架创建项目的时候勾选，也可以创建完毕后在 pom 文件中加入相关依赖。  
![在这里插入图片描述][20201018222945755.png]

<dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

引入 Spring Security 后再次访问会发现直接被弹到了登录页面，此时我们还什么都没有配置，为什么 Security 会生效呢，这是因为 Spring Boot 帮我们完成了在 Spring 中需要完成的诸多配置【[☞ Spring Security 基础入门][Spring Security]】。也正是因为 Spring Boot 提供了自动化配置方案，让我们可以“零配置”的使用 Spring Security，所以在 Spring Boot 项目中我们通常使用的安全框架是 Spring Security 而在 Spring 中一般使用 Shiro。  
![在这里插入图片描述][20201018230128750.png]

我们并没有配置静态的用户那么该如何登录呢，Spring Boot 为我们提供了一个默认的用户，用户名为：user，密码则是在启动 Spring Boot 项目是随机生成的，我们可以在控制台找到他。  
![在这里插入图片描述][20201018230014675.png]

## 1.2 配置认证 ##

### 1.2.1 添加静态用户 ###

Spring Boot 除了一些信息写道 yml 配置文件中，其他配置都使用配置类，Spring Security 需要继承 `WebSecurityConfigurerAdapter`，配置用户信息需要重写 `configure(AuthenticationManagerBuilder auth)` 方法。配置完毕后，将不会再使用 user 用户。

/** * Created with IntelliJ IDEA. * * @author Demo_Null * @date 2020/10/18 * @description Spring Security 配置类 */
    @Configuration
    @EnableWebSecurity
    public class SecurityConfig extends WebSecurityConfigurerAdapter { 
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
            // 配置静态用户
            auth.inMemoryAuthentication()
                    .withUser("admin")
                    .password("{noop}123")      // 此处需要加 {noop} 表示该密码为明文
                    .roles("USER");
        }
    }

### 1.2.2 添加数据库认证 ###

#### ☞ 添加用户实体类 ####

Spring Security 中使用的用户是 UserDetails，我们要么让自定义用户类实现 UserDetails，要么使用时将自定义用户类转换为 UserDetails。建议实现 UserDetails。因为该类中涉及到角色信息所以我们还需要创建角色类。我们在以后的操作中可能会将对象转为 json 或者将 json 转为对象，所以我们重写的方法需要加上 `@JsonIgnore` 将其忽略(该类本来就需要的不用忽略)。

/** * Created with IntelliJ IDEA. * * @author gaohu9712@163.com * @date 2020/10/18 * @description 用户实体类 */
    public class SysUser implements UserDetails { 
    
        private Long id;
        private String username;
        private String passwrod;
        private List<SysRole> roleList = new ArrayList<>();
    
    
        public Long getId() { 
            return id;
        }
    
        public void setId(Long id) { 
            this.id = id;
        }
    
    
        public void setUsername(String username) { 
            this.username = username;
        }
    
    
        public void setPasswrod(String passwrod) { 
            this.passwrod = passwrod;
        }
    
        public List<SysRole> getRoleList() { 
            return roleList;
        }
    
        public void setRoleList(List<SysRole> roleList) { 
            this.roleList = roleList;
        }
    
        @Override
        public Collection<? extends GrantedAuthority> getAuthorities() { 
            return roleList;
        }
    
        @Override
        public String getPassword() { 
            return passwrod;
        }
    
        @Override
        public String getUsername() { 
            return username;
        }
    
        @Override
        @JsonIgnore
        public boolean isAccountNonExpired() { 
            return false;
        }
    
        @Override
        @JsonIgnore
        public boolean isAccountNonLocked() { 
            return false;
        }
    
        @Override
        @JsonIgnore
        public boolean isCredentialsNonExpired() { 
            return false;
        }
    
        @Override
        @JsonIgnore
        public boolean isEnabled() { 
            return false;
        }
    }

#### ☞ 创建角色类 ####

Spring Security 中使用的角色信息使用的是 GrantedAuthority 所以我们的角色类也需要实现 GrantedAuthority。

/** * Created with IntelliJ IDEA. * * @author Demo_Null * @date 2020/10/18 * @description 角色类 */
    public class SysRole implements GrantedAuthority { 
    
        private Long id;
        private String roleName;
        private String roleDesc;
    
        public Long getId() { 
            return id;
        }
    
        public void setId(Long id) { 
            this.id = id;
        }
    
        public String getRoleName() { 
            return roleName;
        }
    
        public void setRoleName(String roleName) { 
            this.roleName = roleName;
        }
    
        public String getRoleDesc() { 
            return roleDesc;
        }
    
        public void setRoleDesc(String roleDesc) { 
            this.roleDesc = roleDesc;
        }
    
        @Override
        @JsonIgnore
        public String getAuthority() { 
            return roleName;
        }
    }

#### ☞ 添加持久层 ####

> 此处省略使用通用 mapper 操作数据库的内容【[☞ Mybatis 使用通用 mapper][Mybatis _ mapper]】，jpa 等其他操作数据库的方法亦可。

#### ☞ 认证类 ####

Spring Boot 中 Spring Security 的认证类与 Spring 中的并无区别，都需要实现 UserDetailsService 接口，然后重写 `loadUserByUsername(String s)` 方法并返回一个 UserDetails。

/** * Created with IntelliJ IDEA. * * @author Demo_Null * @date 2020/10/18 * @description 认证类 */ 
    public class UserDetailsServiceImpl implements UserDetailsService { 
        
        @Autowired
        private UserMapper userMapper;
        
        @Override
        public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException { 
            return userMapper.findByName(s);
        }
    }

#### ☞ 配置类 ####

/** * Created with IntelliJ IDEA. * * @author Demo_Null * @date 2020/10/18 * @description Spring Security 配置类 */
    @Configuration
    @EnableWebSecurity
    public class SecurityConfig extends WebSecurityConfigurerAdapter { 
    
        @Autowired
        private UserDetailsService userDetailsService;
    
        @Bean
        // BCrypt 交由 Ioc 容器管理
        public BCryptPasswordEncoder passwordEncoder() { 
           return new BCryptPasswordEncoder();
        }
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
            // 认证类
            auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
        }
    }

## 1.3 授权 ##

### 1.3.1 开启方法级授权 ###

在启动类上使用 `@EnableGlobalMethodSecurity` 注解开启方法级授权。参数 prePostEnabled 代表 Spring 中的权限控制注解；securedEnabled 代表 Spring Security 中的权限控制注解； jsr250Enabled 代表 jsr250 的权限控制注解  
。

@SpringBootApplication
    @MapperScan("com.software.springsecurity.mapper")
    @EnableGlobalMethodSecurity(securedEnabled = true)
    public class SpringSecurityApplication { 
    
        public static void main(String[] args) { 
            SpringApplication.run(SpringSecurityApplication.class, args);
        }
    
    }

### 1.3.2 添加方法权限 ###

当用户仅有 `ROLE_USER` 权限时仅能访问 findStr 方法而不能访问 get 方法；要想访问 get 方法用户必须具有 `ROLE_ADMIN` 权限。

/** * Created with IntelliJ IDEA. * * @author Demo_Null * @date 2020/10/18 * @description */
    @RestController
    @RequestMapping("/demo")
    public class DemoController { 
    
        @GetMapping("/find")
        @Secured("ROLE_USER")
        public String findStr() { 
            return "请求成功";
        }
    
        @GetMapping("/get")
        @Secured("ROLE_ADMIN")
        public String get() { 
            return "get";
        }
    }

![在这里插入图片描述][20201019002221719.png]

![在这里插入图片描述][20201019002147947.png]

### 1.3.3 异常拦截页面 ###

@ControllerAdvice
    public class HandlerControllerAdvice { 
    
        @ExceptionHandler(AccessDeniedException.class)
        public String handlerException(){ 
            return "redirect:/403.html";
        }
    
        @ExceptionHandler(RuntimeException.class)
        public String runtimeHandlerException(){ 
            return "redirect:/500.html";
        }
    }

[20201018224932715.png]: /images/20221123/b6088cd8d61f4db7bd7c84751f55879c.png
[20201018225008459.png]: /images/20221123/e10bb64b0d7a4567bdbfb85fcfcf4f33.png
[20201018222945755.png]: /images/20221123/e246cf159b4f4087a54b48431ab1a05d.png
[Spring Security]: https://blog.csdn.net/Demo_Null/article/details/109021106
[20201018230128750.png]: /images/20221123/e3ec905aaa33462ea7c6c270847eb2b8.png
[20201018230014675.png]: /images/20221123/d11ad2007ae649dbbf964308d428d2f9.png
[Mybatis _ mapper]: https://blog.csdn.net/Demo_Null/article/details/108507987
[20201019002221719.png]: /images/20221123/62e4901d894b4c04b194ce1c213ff0bd.png
[20201019002147947.png]: /images/20221123/1274d5624e224d2d85f06446c1e387f7.png