在Spring Security中检索用户信息

淡淡的烟草味﹌ 2023-09-25 13:05 51阅读 0赞

### **1. 概述** ###

本教程将展示如何在**Spring 安全性中检索用户详细信息。**

当前经过身份验证的用户可以通过 Spring 中的多种不同机制使用。让我们先介绍最常见的解决方案 — 编程访问。

### **延伸阅读：** ###

### **[使用 Spring 安全性跟踪登录用户][Spring]** ###

在使用 Spring 安全性构建的应用程序中跟踪登录用户的快速指南。

[阅读更多][Spring]→

### **[Spring 安全性 – 角色和特权][Spring _ _]** ###

如何映射 Spring 安全性应用程序的角色和权限：设置、身份验证和注册过程。

[阅读更多][Spring _ _]→

### **[Spring 安全性 – 重置密码][Spring _ _ 1]** ###

每个应用程序都应允许用户更改自己的密码，以防忘记密码。

[阅读更多][Spring _ _ 1]→

### **2. 在Bean中获取用户** ###

**检索当前经过身份验证的主体的最简单方法是通过对*SecurityContextHolder* 的静态调用**：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    String currentPrincipalName = authentication.getName();

对此代码段的改进是，在尝试访问它之前，首先检查是否存在经过身份验证的用户：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    if (!(authentication instanceof AnonymousAuthenticationToken)) {
        String currentUserName = authentication.getName();
        return currentUserName;
    }

当然，像这样的静态调用也有缺点，代码的可测试性降低是更明显的缺点之一。相反，我们将探索满足这一非常常见要求的替代解决方案。

### **3. 在控制器中获取用户** ###

我们在注释 bean 中还有其他选项*@Controller*。

**我们可以直接将主体定义为方法参数**，框架会正确解析：

@Controller
    public class SecurityController {
    
        @RequestMapping(value = "/username", method = RequestMethod.GET)
        @ResponseBody
        public String currentUserName(Principal principal) {
            return principal.getName();
        }
    }

或者，**我们也可以使用身份验证令牌**：

@Controller
    public class SecurityController {
    
        @RequestMapping(value = "/username", method = RequestMethod.GET)
        @ResponseBody
        public String currentUserName(Authentication authentication) {
            return authentication.getName();
        }
    }

*身份验证*类的 API 非常开放，因此框架尽可能保持灵活性。因此，**Spring 安全性主体只能作为*对象*检索，并且需要强制转换为正确的*UserDetails*实例**：

UserDetails userDetails = (UserDetails) authentication.getPrincipal();
    System.out.println("User has authorities: " + userDetails.getAuthorities());

最后，这是直接**来自HTTP请求**：

@Controller
    public class GetUserWithHTTPServletRequestController {
    
        @RequestMapping(value = "/username", method = RequestMethod.GET)
        @ResponseBody
        public String currentUserNameSimple(HttpServletRequest request) {
            Principal principal = request.getUserPrincipal();
            return principal.getName();
        }
    }

### **4. 通过自定义接口获取用户** ###

为了充分利用 Spring 依赖注入并能够在任何地方检索身份验证，而不仅仅是在 *be@Controller 中*，我们需要将静态访问隐藏在一个简单的外观后面：

public interface IAuthenticationFacade {
        Authentication getAuthentication();
    }
    @Component
    public class AuthenticationFacade implements IAuthenticationFacade {
    
        @Override
        public Authentication getAuthentication() {
            return SecurityContextHolder.getContext().getAuthentication();
        }
    }

外观公开*身份验证*对象，同时隐藏静态状态并保持代码分离且完全可测试：

@Controller
    public class GetUserWithCustomInterfaceController {
        @Autowired
        private IAuthenticationFacade authenticationFacade;
    
        @RequestMapping(value = "/username", method = RequestMethod.GET)
        @ResponseBody
        public String currentUserNameSimple() {
            Authentication authentication = authenticationFacade.getAuthentication();
            return authentication.getName();
        }
    }

### **5. 在 JSP 中获取用户** ###

通过利用 Spring Security Taglib 支持，也可以在**JSP 页面中访问**当前经过身份验证的主体。

首先，我们需要在页面中定义标签：

<%@ taglib prefix="security" uri="http://www.springframework.org/security/tags" %>

接下来，我们可以**参考委托人**：

<security:authorize access="isAuthenticated()">
        authenticated as <security:authentication property="principal.username" /> 
    </security:authorize>

### **6. 在百里香叶中获取用户** ###

[Thymeleaf][]是一个现代化的服务器端Web模板引擎，[与Spring MVC框架具有良好的集成][Spring MVC]。

让我们看看如何使用 Thymeleaf 引擎在页面中访问当前经过身份验证的主体。

首先，我们需要添加[thymeleaf-spring5 和 thymeleaf-extras-springsecurity5][thymeleaf-spring5 _ thymeleaf-extras-springsecurity5]依赖项，以将 Thymeleaf 与 Spring Security 集成：

<dependency>
        <groupId>org.thymeleaf.extras</groupId>
        <artifactId>thymeleaf-extras-springsecurity5</artifactId>
    </dependency>
    <dependency>
        <groupId>org.thymeleaf</groupId>
        <artifactId>thymeleaf-spring5</artifactId>
    </dependency>

现在**我们可以使用 sec：authorize 属性在 HTML 页面中引用主体*：***

<html xmlns:th="https://www.thymeleaf.org" 
      xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity5">
    <body>
        <div sec:authorize="isAuthenticated()">
          Authenticated as <span sec:authentication="name"></span></div>
    </body>
    </html>

### **7. 结论** ###

本文展示了如何在 Spring 应用程序中获取用户信息，从常见的静态访问机制开始，然后是几种更好的注入主体的方法。

这些示例的实现可以在[GitHub 项目][GitHub]中找到。这是一个基于 Eclipse 的项目，因此应该很容易导入和按原样运行。在本地运行项目时，我们可以在此处访问主页 HTML：

http://localhost:8080/spring-security-rest-custom/foos/1

[Spring]: https://www.baeldung.com/spring-security-track-logged-in-users
[Spring _ _]: https://www.baeldung.com/role-and-privilege-for-spring-security-registration
[Spring _ _ 1]: https://www.baeldung.com/spring-security-registration-i-forgot-my-password
[Thymeleaf]: http://www.thymeleaf.org/index.html
[Spring MVC]: https://www.baeldung.com/thymeleaf-in-spring-mvc
[thymeleaf-spring5 _ thymeleaf-extras-springsecurity5]: https://search.maven.org/search?q=a:thymeleaf-spring5
[GitHub]: https://github.com/eugenp/tutorials/tree/master/spring-security-modules/spring-security-web-rest-custom