跟着燕青学Spring Security认证授权05--Spring Security快速入门

绝地灬酷狼 2023-06-05 12:43 5阅读 0赞

### 1 Spring Security介绍 ###

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。由于它是Spring生态系统中的一员，因此它伴随着整个Spring生态系统不断修正、升级，在spring boot项目中加入spring security更是十分简单，使用Spring Security 减少了为企业系统安全控制编写大量重复代码的工作。

### 2 创建工程 ###

#### 2.1 创建maven工程 ####

创建maven工程 security-spring-security，工程结构如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70]  
2）引入以下依赖：

在security-springmvc的基础上增加spring-security的依赖：

<dependency>
                <groupId>org.springframework.security</groupId>
                <artifactId>spring-security-web</artifactId>
                <version>5.1.4.RELEASE</version>
            </dependency>
    
            <dependency>
                <groupId>org.springframework.security</groupId>
                <artifactId>spring-security-config</artifactId>
                <version>5.1.4.RELEASE</version>
            </dependency>

#### 2.2 Spring容器配置 ####

同security-springmvc.

@Configuration
    @ComponentScan(basePackages = "com.pbteach.security.springmvc"
                    ,excludeFilters = {@ComponentScan.Filter(type = FilterType.ANNOTATION,value = Controller.class)})
    public class ApplicationConfig {
        //在此配置除了Controller的其它bean，比如：数据库链接池、事务管理器、业务bean等。
    }

#### 2.3 Servlet Context配置 ####

同 “跟着燕青学Spring Security认证授权04–Servlet3.0 SpringMVC实现Session的认证方式”

@Configuration
    @EnableWebMvc
    @ComponentScan(basePackages = "com.pbteach.security.springmvc"
                ,includeFilters = {@ComponentScan.Filter(type = FilterType.ANNOTATION,value = Controller.class)})
    public class WebConfig implements WebMvcConfigurer {
    
        //视频解析器
        @Bean
        public InternalResourceViewResolver viewResolver(){
            InternalResourceViewResolver viewResolver = new InternalResourceViewResolver();
            viewResolver.setPrefix("/WEB-INF/views/");
            viewResolver.setSuffix(".jsp");
            return viewResolver;
        }
     }

#### 2.4 加载 Spring容器 ####

在init包下定义Spring容器初始化类SpringApplicationInitializer，此类实现WebApplicationInitializer接口，Spring容器启动时加载WebApplicationInitializer接口的所有实现类。

public class SpringApplicationInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {
        @Override
        protected Class<?>[] getRootConfigClasses() {
            return new Class<?>[] { ApplicationConfig.class };//指定rootContext的配置类
        }
    
        @Override
        protected Class<?>[] getServletConfigClasses() {
            return new Class<?>[] { WebConfig.class }; //指定servletContext的配置类
        }
    
        @Override
        protected String[] getServletMappings() {
            return new String [] {"/"};
        }
    }

### 3 认证 ###

#### 3.1 认证页面 ####

springSecurity默认提供认证页面，不需要额外开发。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70 1]

#### 3.2.安全配置 ####

spring security提供了用户名密码登录、退出、会话管理等认证功能，只需要配置即可使用。

1.  在config包下定义WebSecurityConfig，安全配置的内容包括：用户信息、密码编码器、安全拦截机制。

@EnableWebSecurity
        public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
        //配置用户信息服务
            @Bean
            public UserDetailsService userDetailsService()  {
                InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
                manager.createUser(User.withUsername("zhangsan").password("123").authorities("p1").build());
                manager.createUser(User.withUsername("lisi").password("456").authorities("p2").build());
            return manager;
        }
        @Bean
        public PasswordEncoder passwordEncoder() {
        	return  NoOpPasswordEncoder.getInstance();
        }
        //配置安全拦截机制
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                    .authorizeRequests()
                    .antMatchers("/r/**").authenticated()               （1）
                    .anyRequest().permitAll()                           （2）
                    .and()
                    .formLogin().successForwardUrl("/login-success");   （3）
        }
        }

在userDetailsService()方法中，我们返回了一个UserDetailsService给spring容器，Spring Security会使用它来获取用户信息。我们暂时使用InMemoryUserDetailsManager实现类，并在其中分别创建了zhangsan、lisi两个用户，并设置密码和权限。

而在configure()中，我们通过HttpSecurity设置了安全拦截规则，其中包含了以下内容：

（1）url匹配/r/\*\*的资源，经过认证后才能访问。

（2）其他url完全开放。

（3）支持form表单认证，认证成功后转向/login-success。

关于HttpSecurity的配置清单请参考附录 HttpSecurity。

1.  加载 WebSecurityConfig

修改SpringApplicationInitializer的getRootConfigClasses()方法，添加WebSecurityConfig.class：

@Override
        protected Class<?>[] getRootConfigClasses() {
            return new Class<?>[] { ApplicationConfig.class, WebSecurityConfig.class};
        }

#### 3.2.Spring Security初始化 ####

Spring Security初始化，这里有两种情况

*  若当前环境没有使用Spring或Spring MVC，则需要将 WebSecurityConfig(Spring Security配置类) 传入超类，以确保获取配置，并创建spring context。
 *  相反，若当前环境已经使用spring，我们应该在现有的springContext中注册Spring Security(上一步已经做将WebSecurityConfig加载至rootcontext)，此方法可以什么都不做。  
    在init包下定义SpringSecurityApplicationInitializer：

public class SpringSecurityApplicationInitializer
                extends AbstractSecurityWebApplicationInitializer {
            public SpringSecurityApplicationInitializer() {
                //super(WebSecurityConfig.class);
            }
        }

#### 2.3.默认根路径请求 ####

在WebConfig.java中添加默认请求根路径跳转到/login，此url为spring security提供：

//默认Url根路径跳转到/login，此url为spring security提供

@Override
        public void addViewControllers(ViewControllerRegistry registry) {
            registry.addViewController("/").setViewName("redirect:/login");
        }

spring security默认提供的登录页面。

#### 2.4.认证成功页面 ####

在安全配置中，认证成功将跳转到/login-success，代码如下：

//配置安全拦截机制
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/r/**").authenticated()               （1）
                .anyRequest().permitAll()                           （2）
                .and()
                .formLogin().successForwardUrl("/login-success");   （3）
    }

spring security支持form表单认证，认证成功后转向/login-success。

在LoginController中定义/login-success:

@RequestMapping(value = "/login-success",produces = {"text/plain;charset=UTF-8"})
    public String loginSuccess(){
        return " 登录成功";
    }

#### 2.5 测试 ####

（1）启动项目，访问http://localhost:8080/security-spring-security/路径地址

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70 2]  
页面会根据WebConfig中addViewControllers配置规则，跳转至/login，/login是pring Security提供的登录页面。

（2）登录

1、输入错误的用户名、密码  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70 3]  
2、输入正确的用户名、密码，登录成功

（3）退出

1、请求/logout退出  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70 4]  
2、退出 后再访问资源自动跳转到登录页面

### 4 授权 ###

实现授权需要对用户的访问进行拦截校验，校验用户的权限是否可以操作指定的资源，Spring Security默认提供授权实现方法。

在LoginController添加/r/r1或/r/r2

/**
     * 测试资源1
     * @return
     */
    @GetMapping(value = "/r/r1",produces = {"text/plain;charset=UTF-8"})
    public String r1(){
        return " 访问资源1";
    }
    
    /**
     * 测试资源2
     * @return
     */
    @GetMapping(value = "/r/r2",produces = {"text/plain;charset=UTF-8"})
    public String r2(){
        return " 访问资源2";
    }

在安全配置类WebSecurityConfig.java中配置授权规则：

.antMatchers("/r/r1").hasAuthority("p1")                                      
     .antMatchers("/r/r2").hasAuthority("p2")

.antMatchers("/r/r1").hasAuthority(“p1”)表示：访问/r/r1资源的 url需要拥有p1权限。

.antMatchers("/r/r2").hasAuthority(“p2”)表示：访问/r/r2资源的 url需要拥有p2权限。

完整的WebSecurityConfig方法如下：

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/r/r1").hasAuthority("p1")
                .antMatchers("/r/r2").hasAuthority("p2")
                .antMatchers("/r/**").authenticated()
                .anyRequest().permitAll()
                .and()
                .formLogin().successForwardUrl("/login-success");
    }

测试：

1、登录成功

2、访问/r/r1和/r/r2，有权限时则正常访问，否则返回403（拒绝访问）

### 5 案例代码 ###

[https://github.com/pbteach/SpringSecurity/tree/master/security-spring-security][https_github.com_pbteach_SpringSecurity_tree_master_security-spring-security]

### 视频下载 ###

[燕青SpringSecurity视频下载][SpringSecurity]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70]: /images/20230601/6313e83431254b7290e20c46cc60857e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70 1]: /images/20230601/8bbd7a5fcce14f56b16109dd23ae8327.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70 2]: /images/20230601/70741b0ad8464ac284dda1cfd2b0c74f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70 3]: /images/20230601/0baac140fafa4d96b4f37ec20459583c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDA2MjMzOQ_size_16_color_FFFFFF_t_70 4]: /images/20230601/78dcee98d89444a68b40133f9dff0670.png
[https_github.com_pbteach_SpringSecurity_tree_master_security-spring-security]: https://github.com/pbteach/SpringSecurity/tree/master/security-spring-security
[SpringSecurity]: https://blog.csdn.net/weixin_44062339/article/details/102598424