一篇帶給你SpringBoot + Spring Security入門(mén)

作者：JEECG 2020-12-24 08:07:18

開(kāi)發(fā) 前端

這篇文章主要介紹了SpringBoot + Spring Security 簡(jiǎn)單入門(mén)

[[359696]]

這篇文章主要介紹了SpringBoot + Spring Security 簡(jiǎn)單入門(mén)

一、Spring Security 基本介紹

這里就不對(duì)Spring Security進(jìn)行過(guò)多的介紹了，具體的可以參考官方文檔

我就只說(shuō)下SpringSecurity核心功能:

認(rèn)證(你是誰(shuí))
授權(quán)(你能干什么)
攻擊防護(hù)(防止偽造身份)

二、基本環(huán)境搭建

這里我們以SpringBoot作為項(xiàng)目的基本框架，我這里使用的是maven的方式來(lái)進(jìn)行的包管理，所以這里先給出集成Spring Security的方式

<?xml version="1.0" encoding="UTF-8"?> 
<project xmlns="http://maven.apache.org/POM/4.0.0" 
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd"> 
    <parent> 
        <artifactId>jeecg-boot-cloud-study</artifactId> 
        <groupId>com.jeecg.cloud</groupId> 
        <version>1.0.0</version> 
    </parent> 
    <modelVersion>4.0.0</modelVersion> 
 
    <artifactId>jeecg-boot-security</artifactId> 
 
    <dependencies> 
        <dependency> 
            <groupId>org.springframework.boot</groupId> 
            <artifactId>spring-boot-starter-web</artifactId> 
        </dependency> 
            <dependency> 
                <groupId>org.springframework.boot</groupId> 
                <artifactId>spring-boot-starter-security</artifactId> 
            </dependency> 
    </dependencies> 
 
</project>

然后建立一個(gè)Web層請(qǐng)求接口

@RestController 
@RequestMapping("/user") 
public class UserController { 
  @GetMapping 
  public String getUsers() {     
    return "Hello Jeecg Spring Security"; 
  } 
}

接下來(lái)可以直接進(jìn)行項(xiàng)目的運(yùn)行，并進(jìn)行接口的調(diào)用看看效果了。

三、通過(guò)網(wǎng)頁(yè)的調(diào)用

我們首先通過(guò)瀏覽器進(jìn)行接口的調(diào)用，直接訪問(wèn)http://localhost:8080/user，如果接口能正常訪問(wèn)，那么應(yīng)該顯示“Hello Jeecg Spring Security”。

但是我們是沒(méi)法正常訪問(wèn)的，出現(xiàn)了下圖的身份驗(yàn)證輸入框

這是因?yàn)樵赟pringBoot中，引入的Spring Security依賴，權(quán)限控制自動(dòng)生效了，此時(shí)的接口都是被保護(hù)的，我們需要通過(guò)驗(yàn)證才能正常的訪問(wèn)。 Spring Security提供了一個(gè)默認(rèn)的用戶，用戶名是user，而密碼則是啟動(dòng)項(xiàng)目的時(shí)候自動(dòng)生成的。

我們查看項(xiàng)目啟動(dòng)的日志，會(huì)發(fā)現(xiàn)如下的一段Log

Using default security password: 62ccf9ca-9fbe-4993-8566-8468cc33c28c

當(dāng)然你看到的password肯定和我是不一樣的，我們直接用user和啟動(dòng)日志中的密碼進(jìn)行登錄。

登錄成功后，就跳轉(zhuǎn)到了接口正常調(diào)用的頁(yè)面了。

如果不想一開(kāi)始就使能Spring Security，可以在配置文件中做如下的配置：

# security 使能 
security.basic.enabled = false

剛才看到的登錄框是SpringSecurity是框架自己提供的，被稱為httpBasicLogin。顯示它不是我們產(chǎn)品上想要的，我們前端一般是通過(guò)表單提交的方式進(jìn)行用戶登錄驗(yàn)證的，所以我們就需要自定義自己的認(rèn)證邏輯了。

四、自定義用戶認(rèn)證邏輯

每個(gè)系統(tǒng)肯定是有自己的一套用戶體系的，所以我們需要自定義自己的認(rèn)證邏輯以及登錄界面。這里我們需要先對(duì)SpringSecurity進(jìn)行相應(yīng)的配置

package org.jeecg.auth.config; 
 
import org.springframework.context.annotation.Configuration; 
import org.springframework.security.config.annotation.web.builders.HttpSecurity; 
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; 
 
@Configuration 
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter { 
 
    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
        http.formLogin()          // 定義當(dāng)需要用戶登錄時(shí)候，轉(zhuǎn)到的登錄頁(yè)面。 
                .loginProcessingUrl("/user/login") // 自定義的登錄接口 
                .and() 
                .authorizeRequests()    // 定義哪些URL需要被保護(hù)、哪些不需要被保護(hù) 
                .anyRequest()        // 任何請(qǐng)求,登錄后可以訪問(wèn) 
                .authenticated(); 
    } 
}

自定義密碼加密解密

package org.jeecg.auth.config; 
 
import org.springframework.context.annotation.Bean; 
import org.springframework.security.crypto.password.PasswordEncoder; 
import org.springframework.stereotype.Component; 
 
@Component 
public class MyPasswordEncoder implements PasswordEncoder { 
    @Override 
    public String encode(CharSequence charSequence) { 
        return charSequence.toString(); 
    } 
 
    @Override 
    public boolean matches(CharSequence charSequence, String s) { 
        return s.equals(charSequence.toString()); 
    } 
}

接下來(lái)再配置用戶認(rèn)證邏輯，因?yàn)槲覀兪怯凶约旱囊惶子脩趔w系的

package org.jeecg.auth.config; 
 
import org.slf4j.Logger; 
import org.slf4j.LoggerFactory; 
import org.springframework.beans.factory.annotation.Autowired; 
import org.springframework.security.core.authority.AuthorityUtils; 
import org.springframework.security.core.userdetails.User; 
import org.springframework.security.core.userdetails.UserDetails; 
import org.springframework.security.core.userdetails.UserDetailsService; 
import org.springframework.security.core.userdetails.UsernameNotFoundException; 
import org.springframework.security.crypto.factory.PasswordEncoderFactories; 
import org.springframework.security.crypto.password.PasswordEncoder; 
import org.springframework.stereotype.Component; 
 
@Component 
public class MyUserDetailsService implements UserDetailsService { 
    private Logger logger = LoggerFactory.getLogger(getClass()); 
 
    @Autowired 
    private PasswordEncoder passwordEncoder; 
 
    @Override 
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { 
        logger.info("用戶的用戶名: {}", username); 
        // TODO 根據(jù)用戶名，查找到對(duì)應(yīng)的密碼，與權(quán)限 
 
        // 封裝用戶信息，并返回。參數(shù)分別是：用戶名，密碼，用戶權(quán)限 
        User user = new User(username, passwordEncoder.encode("123456"), AuthorityUtils.commaSeparatedStringToAuthorityList("admin")); 
        return user; 
    } 
}

這里我們沒(méi)有進(jìn)行過(guò)多的校驗(yàn)，用戶名可以隨意的填寫(xiě)，但是密碼必須得是“123456”，這樣才能登錄成功。

同時(shí)可以看到，這里User對(duì)象的第三個(gè)參數(shù)，它表示的是當(dāng)前用戶的權(quán)限，我們將它設(shè)置為”admin”。

我們這里隨便填寫(xiě)一個(gè)user，然后Password寫(xiě)填寫(xiě)一個(gè)錯(cuò)誤的(非123456)的。這時(shí)會(huì)提示校驗(yàn)錯(cuò)誤：

同時(shí)在控制臺(tái)，也會(huì)打印出剛才登錄時(shí)填寫(xiě)的user

現(xiàn)在我們?cè)賮?lái)使用正確的密碼進(jìn)行登錄試試，可以發(fā)現(xiàn)就會(huì)通過(guò)校驗(yàn)，跳轉(zhuǎn)到正確的接口調(diào)用頁(yè)面了。

六、UserDetails

剛剛我們?cè)趯?xiě)MyUserDetailsService的時(shí)候，里面實(shí)現(xiàn)了一個(gè)方法，并返回了一個(gè)UserDetails。這個(gè)UserDetails 就是封裝了用戶信息的對(duì)象，里面包含了七個(gè)方法

public interface UserDetails extends Serializable { 
  // 封裝了權(quán)限信息 
  Collection<? extends GrantedAuthority> getAuthorities(); 
  // 密碼信息 
  String getPassword(); 
  // 登錄用戶名 
  String getUsername(); 
  // 帳戶是否過(guò)期 
  boolean isAccountNonExpired(); 
  // 帳戶是否被凍結(jié) 
  boolean isAccountNonLocked(); 
  // 帳戶密碼是否過(guò)期，一般有的密碼要求性高的系統(tǒng)會(huì)使用到，比較每隔一段時(shí)間就要求用戶重置密碼 
  boolean isCredentialsNonExpired(); 
  // 帳號(hào)是否可用 
  boolean isEnabled(); 
}

我們?cè)诜祷豒serDetails的實(shí)現(xiàn)類(lèi)User的時(shí)候，可以通過(guò)User的構(gòu)造方法，設(shè)置對(duì)應(yīng)的參數(shù)

七、密碼加密解密

SpringSecurity中有一個(gè)PasswordEncoder接口

public interface PasswordEncoder { 
  // 對(duì)密碼進(jìn)行加密 
  String encode(CharSequence var1); 
  // 對(duì)密碼進(jìn)行判斷匹配 
  boolean matches(CharSequence var1, String var2); 
}

我們只需要自己實(shí)現(xiàn)這個(gè)接口，并在配置文件中配置一下就可以了。

責(zé)任編輯：姜華來(lái)源：今日頭條