SpringSecurity超详细入门介绍

﹏ヽ暗。殇╰゛Y 2023-06-18 11:54 15阅读 0赞

`权限管理`是我们项目中必不可少的一环，实际项目中我们可以自己设计权限管理模块，也可以使用市面上成熟的权限管理框架，比如 `shiro`或者 `SpringSecurity`等，前面已经详细的介绍过了 [shiro][] 的使用，本文开始就给大家详细的来介绍下SpringSecurity的使用。  
内容包括

1.  spring+springmvc基于配置的方式详细介绍SpringSecurity
2.  springboot整合SpringSecurity
3.  OAuth2的使用

# 一、权限管理概念 #

权限管理，一般指根据系统设置的安全规则或者安全策略，用户可以访问而且只能访问自己被授权的资源。权限管理几乎出现在任何系统里面，前提是需要有用户和密码认证的系统。  
在权限管理的概念中，有两个非常重要的名词：  
`认证`：通过用户名和密码成功登陆系统后，让系统得到当前用户的角色身份。  
`授权`：系统根据当前用户的角色，给其授予对应可以操作的权限资源。

# 二、完成权限管理需要三个对象 #

`用户`：主要包含用户名，密码和当前用户的角色信息，可实现认证操作。  
`角色`：主要包含角色名称，角色描述和当前角色拥有的权限信息，可实现授权操作。  
`权限`：权限也可以称为菜单，主要包含当前权限名称，url地址等信息，可实现动态展示菜单。  
`注`：这三个对象中，用户与角色是多对多的关系，角色与权限是多对多的关系，用户与权限没有直接关系，二者是通过角色来建立关联关系的。

# 三、初识Spring Security #

## 1 Spring Security概念 ##

Spring Security是spring采用`AOP`思想，基于`servlet过滤器`实现的安全框架。它提供了完善的认证机制和方法级的授权功能。是一款非常优秀的权限管理框架。

## 2 快速入门案例 ##

入门案例我们是通过spring+springmvc环境来搭建的。所以需要先准备项目环境

### 2.1环境准备 ###

#### 2.1.1 创建web项目 ####

通过idea工具创建一个基于maven的web项目  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ_size_16_color_FFFFFF_t_70]

#### 2.1.2 导入相关的依赖 ####

<dependencies>
      <dependency>
        <groupId>org.springframework</groupId>
        <artifactId>spring-webmvc</artifactId>
        <version>5.2.1.RELEASE</version>
      </dependency>
      <dependency>
        <groupId>javax.servlet</groupId>
        <artifactId>servlet-api</artifactId>
        <version>2.5</version>
        <scope>provided</scope>
      </dependency>
      <dependency>
        <groupId>org.slf4j</groupId>
        <artifactId>slf4j-log4j12</artifactId>
        <version>1.7.25</version>
      </dependency>
      <dependency>
        <groupId>junit</groupId>
        <artifactId>junit</artifactId>
        <version>4.11</version>
        <scope>test</scope>
      </dependency>
    </dependencies>

#### 2.1.3 创建相关配置文件 ####

相关的配置文件有spring的，springmvc的和log4j.properties  
spring:

springmvc:

log4j.properties

log4j.rootCategory=INFO, stdout
     
    log4j.appender.stdout=org.apache.log4j.ConsoleAppender
    log4j.appender.stdout.layout=org.apache.log4j.PatternLayout
    log4j.appender.stdout.layout.ConversionPattern=[QC] %p [%t] %C.%M(%L) | %m%n

#### 2.1.4 web.xml设置 ####

在web.xml文件中配置spring和SpringMVC容器的加载

<!DOCTYPE web-app PUBLIC "-//Sun Microsystems, Inc.//DTD Web Application 2.3//EN" "http://java.sun.com/dtd/web-app_2_3.dtd" >
    
    <web-app version="2.5" id="WebApp_ID" xmlns="http://java.sun.com/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">
      <display-name>Archetype Created Web Application</display-name>
    
      
      <context-param>
        <param-name>contextConfigLocation</param-name>
        <param-value>classpath:applicationContext.xml</param-value>
      </context-param>
      <listener>
        <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
      </listener>
    
      
      <filter>
        <filter-name>CharacterEncodingFilter</filter-name>
        <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
        <init-param>
          <param-name>encoding</param-name>
          <param-value>utf-8</param-value>
        </init-param>
      </filter>
      <filter-mapping>
        <filter-name>CharacterEncodingFilter</filter-name>
        <url-pattern>/*</url-pattern>
      </filter-mapping>
      
      <servlet>
        <servlet-name>dispatcherServletb</servlet-name>
        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
        
        <init-param>
          <param-name>contextConfigLocation</param-name>
          <param-value>classpath:springmvc.xml</param-value>
        </init-param>
        <load-on-startup>1</load-on-startup>
      </servlet>
      <servlet-mapping>
        <servlet-name>dispatcherServletb</servlet-name>
        
        <url-pattern>/</url-pattern>
      </servlet-mapping>
    
    </web-app>

### 2.2 SpringSecurity整合 ###

准备好Spring+SpringMVC的环境后我们就可以整合SpringSecurity了

#### 2.2.1.相关jar作用介绍 ####

`spring-security-core.jar`:核心包，任何SpringSecurity功能都需要此包  
`spring-security-web.jar`:web工程必须，包含过滤器和相关的web安全基础结构代码  
`spring-security-config.jar`:用于解析xml配置文件，用到SpringSecurity的xml配置文件的就要用到此包  
`spring-security-taglibs.jar`:SpringSecurity提供的动态标签库，jsp页面可以用

因为maven项目的依赖传递性，我们在项目中只需要设置 config和taglibs这两个依赖即可

<dependency>
      <groupId>org.springframework.security</groupId>
      <artifactId>spring-security-config</artifactId>
      <version>5.1.5.RELEASE</version>
    </dependency>
    <dependency>
      <groupId>org.springframework.security</groupId>
      <artifactId>spring-security-taglibs</artifactId>
      <version>5.1.5.RELEASE</version>
    </dependency>

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ_size_16_color_FFFFFF_t_70 1]

#### 2.2.2.过滤器配置 ####

我们需要在容器启动的时候加载相关的过滤器，所以需要在web.xml中添加如下配置

<filter>
      <filter-name>springSecurityFilterChain</filter-name>
      <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    </filter>
    <filter-mapping>
      <filter-name>springSecurityFilterChain</filter-name>
      <url-pattern>/*</url-pattern>
    </filter-mapping>

#### 2.2.3.SpringSecurity配置文件设置 ####

单独添加一个SpringSecurity的配置文件

<?xml version="1.0" encoding="UTF-8"?>
    <beans xmlns="http://www.springframework.org/schema/beans" xmlns:context="http://www.springframework.org/schema/context" xmlns:p="http://www.springframework.org/schema/p" xmlns:aop="http://www.springframework.org/schema/aop" xmlns:tx="http://www.springframework.org/schema/tx" xmlns:security="http://www.springframework.org/schema/security" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-4.2.xsd http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context-4.2.xsd http://www.springframework.org/schema/aop http://www.springframework.org/schema/aop/spring-aop-4.2.xsd http://www.springframework.org/schema/tx http://www.springframework.org/schema/tx/spring-tx-4.2.xsd http://www.springframework.org/schema/util http://www.springframework.org/schema/util/spring-util-4.2.xsd http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-4.2.xsd">
    
        
        <security:http auto-config="true" use-expressions="true">
            
            <security:intercept-url pattern="/**" access="hasAnyRole(ROLE_USER)"></security:intercept-url>
        </security:http>
    
        
        <security:authentication-manager>
            <security:authentication-provider>
                <security:user-service>
                    <security:user name="zhang" password="{noop}123" authorities="ROLE_USER"></security:user>
                    <security:user name="lisi" password="{noop}123" authorities="ROLE_ADMIN"></security:user>
                </security:user-service>
            </security:authentication-provider>
        </security:authentication-manager>
    
    </beans>

#### 2.2.4.导入SpringSecurity的配置文件 ####

SpringSecurity的配置文件需要加载到Spring容器中，所以可以通过import来导入

#### 2.2.5.启动项目测试 ####

我们通过tomcat插件来启动项目

<plugins>
      <plugin>
        <groupId>org.apache.tomcat.maven</groupId>
        <artifactId>tomcat7-maven-plugin</artifactId>
        <version>2.2</version>
        <configuration>
          <port>8080</port> 
          <path>/</path>    
        </configuration>
      </plugin>

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ_size_16_color_FFFFFF_t_70 2]  
搞定~

[shiro]: https://blog.csdn.net/qq_38526573/category_9284714.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191202114816113.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20191202120251268.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20191202120600129.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9kcGItYm9ib2thb3lhLXNtLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70