SpringSecurity

来做安全框架#xff0c;小项目用相对简单的Shiro。

认证、授权是

SpringSecurity

认证#xff1a;通过用户名密码验证当前访问系统的是不是本…Spring

Security

认证通过用户名密码验证当前访问系统的是不是本系统的用户并且要确认具体是哪个用户。

授权经过认证后判断当前用户是否有权限进行某个操作。

本笔记只做代码编写具体概念参考

B站视频链接SpringSecurity框架教程-Spring

认证流程图

Authentication接口它的实现类表示当前访问系统的用户封装了用户相关信息。

AuthenticationManager接口定义了认证

Authentication

authenticate()UserDetailsService接口加载用户特定数据的核心接口。

里面定义了一个根据用户名查询用户信息的方法loadUserByUsername()。

UserDetails接口提供核心用户信息。

通过

UserDetailsService

UserDetailsService接口在这个实现类中去查询数据库。

pom.xml

xmlnshttp://maven.apache.org/POM/4.0.0

xmlns:xsihttp://www.w3.org/2001/XMLSchema-instancexsi:schemaLocationhttp://maven.apache.org/POM/4.0.0

http://maven.apache.org/xsd/maven-4.0.0.xsdmodelVersion4.0.0/modelVersiongroupIdorg.ymqx/groupIdartifactIdSpringSecurityDemo/artifactIdversion1.0-SNAPSHOT/versionnameSpringSecurityDemo/namepropertiesproject.build.sourceEncodingUTF-8/project.build.sourceEncodingmaven.compiler.source1.8/maven.compiler.sourcemaven.compiler.target1.8/maven.compiler.target/propertiesparentgroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-parent/artifactIdversion2.5.0/version/parentdependencies!--web--dependencygroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-web/artifactId/dependency!--lombok--dependencygroupIdorg.projectlombok/groupIdartifactIdlombok/artifactIdoptionaltrue/optional/dependency!--security--dependencygroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-security/artifactId/dependency!--mybatis-plus--dependencygroupIdcom.baomidou/groupIdartifactIdmybatis-plus-boot-starter/artifactIdversion3.4.3/version/dependency!--mysql--dependencygroupIdmysql/groupIdartifactIdmysql-connector-java/artifactId/dependency/dependencies

/project引入依赖spring-boot-starter-security

service

1、根据用户名查询用户信息LambdaQueryWrapperUser

wrapper

LambdaQueryWrapper();wrapper.eq(User::getUserName,

username);User

userMapper.selectOne(wrapper);//

1.1、如果查询不到数据就通过抛出异常来给出提示if(Objects.isNull(user)){throw

new

3、封装成UserDetails对象返回UserDetails

loginUser

实现UserDetailsService接口重写loadUserByUsername()方法内部实现查询数据库逻辑将获取的用户信息封装成UserDetails对象返回。

1.2

user.getPassword();}Overridepublic

String

user.getUserName();}Overridepublic

boolean

jdbc:mysql://localhost:3306/sg_security?characterEncodingutf-8serverTimezoneUTCusername:

rootpassword:

默认使用的PasswordEncoder要求数据库中的密码格式为{id}password

。

它会根据id去判断密码的加密方式。

但是我们一般不会采用这种方式。

所以就需要替换PasswordEncoder。

我们一般使用SpringSecurity为我们提供的BCryptPasswordEncoder。

我们只需要使用把BCryptPasswordEncoder对象注入Spring容器中SpringSecurity就会使用该PasswordEncoder来进行密码校验。

我们可以定义一个

SpringSecurity

要求这个配置类要继承WebSecurityConfigurerAdapter。

public

passwordEncoder.encode(123456);System.out.println(encode);boolean

matches

passwordEncoder.matches(123456,

encode);System.out.println(matches);}

}输出

$2a$10$V.th3Vaeh9lzPJmtyM3A7eqL9YRZ1Cv4By4KmJN2F6t5bng6P4UFG

true字符串123456生成的密文插入到用户表sys_user

--密码原文存储

sys_user(user_name,nick_name,password,status,email,phonenumber,sex,avatar,user_type,create_by,create_time,update_by,update_time,del_flag)

values(sg,三更,$2a$10$V.th3Vaeh9lzPJmtyM3A7eqL9YRZ1Cv4By4KmJN2F6t5bng6P4UFG,0,null,123456789,男,,0,0,2022-06-01,0,2022-06-01,0)1.5

controller

{SpringApplication.run(SecurityApplication.class,args);}

}访问

入门案例每次访问资源都要重新认证而且需要使用SpringSecurity默认的login页面所以我们需要自定义登录接口。

通过入门的认证流程图可知通过AuthenticationManager的authenticate()方法来进行用户认证同时需要将登录接口进行放行让用户访问这个接口的时候不用登录也能访问。

认证成功的话要生成一个JWT放入响应中返回。

并且为了让用户下回请求时能通过JWT识别出具体的是哪个用户我们需要把用户信息存入redis可以把用户

自定义登录接口调用

UserDetailsService在这个实现类中去查询数据库。

已经实现

Jwt

中获取用户信息存入SecurityContextHolder。

2.1

!--redis依赖--dependencygroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-data-redis/artifactId/dependency!--

--dependencygroupIdorg.apache.commons/groupIdartifactIdcommons-pool2/artifactId/dependency!--fastjson依赖--dependencygroupIdcom.alibaba/groupIdartifactIdfastjson/artifactIdversion1.2.33/version/dependency!--jwt依赖--dependencygroupIdio.jsonwebtoken/groupIdartifactIdjjwt/artifactIdversion0.9.0/version/dependency2.2

新增工具类

clazz;static{ParserConfig.getGlobalInstance().setAutoTypeSupport(true);}public

byte[]

SerializerFeature.WriteClassName).getBytes(DEFAULT_CHARSET);}Overridepublic

deserialize(byte[]

TypeFactory.defaultInstance().constructType(clazz);}

}3.

redisTemplate(RedisConnectionFactory

connectionFactory){RedisTemplateObject,

Object

RedisTemplate();template.setConnectionFactory(connectionFactory);FastJsonRedisSerializer

serializer

FastJsonRedisSerializer(Object.class);//

使用StringRedisSerializer来序列化和反序列化redis的key值template.setKeySerializer(new

StringRedisSerializer());template.setValueSerializer(serializer);//

Hash的key也采用StringRedisSerializer的序列化方式template.setHashKeySerializer(new

StringRedisSerializer());template.setHashValueSerializer(serializer);template.afterPropertiesSet();return

template;}

value){redisTemplate.opsForValue().set(key,

value);}/***

timeUnit){redisTemplate.opsForValue().set(key,

value,

redisTemplate.opsForValue();return

删除单个对象**

redisTemplate.delete(key);}/***

删除集合对象**

redisTemplate.delete(collection);}/***

缓存List数据**

redisTemplate.opsForList().rightPushAll(key,

dataList);return

redisTemplate.opsForList().range(key,

-1);}/***

dataSet){BoundSetOperationsString,

setOperation

redisTemplate.boundSetOps(key);IteratorT

(it.hasNext()){setOperation.add(it.next());}return

setOperation;}/***

redisTemplate.opsForSet().members(key);}/***

缓存Map**

{redisTemplate.opsForHash().putAll(key,

dataMap);}}/***

redisTemplate.opsForHash().entries(key);}/***

往Hash中存入数据**

value){redisTemplate.opsForHash().put(key,

hKey,

redisTemplate.opsForHash();return

opsForHash.get(key,

redisTemplate.opsForHash();hashOperations.delete(key,

hkey);}/***

redisTemplate.opsForHash().multiGet(key,

hKeys);}/***

UUID.randomUUID().toString().replaceAll(-,

);return

Base64.getDecoder().decode(JwtUtil.JWT_KEY);SecretKey

key

SignatureAlgorithm.HS256;SecretKey

secretKey

System.currentTimeMillis();Date

now

Date(nowMillis);if(ttlMillisnull){ttlMillisJwtUtil.JWT_TTL;}long

expMillis

Date(expMillis);System.out.println(uuid);System.out.println(subject);System.out.println(secretKey);System.out.println(expDate);return

签发者.setIssuedAt(now)

签发时间.signWith(signatureAlgorithm,

secretKey)

第二个参数为秘钥.setExpiration(expDate);}/***

解析**

Jwts.parser().setSigningKey(secretKey).parseClaimsJws(jwt).getBody();}public

static

JwtUtil.createJWT({usershwen});System.out.println(jwt);*///

jwt

60*1000L);System.out.println(jwt);//过期JWT解析会抛出异常String

token

eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI1ODljMGE0MDQ0Y2Y0YmJiYmFhYjFiOWFmOTMzYzc3ZiIsInN1YiI6Int1c2VyPXNod2VufSIsImlzcyI6ImFkbWluIiwiaWF0IjoxNjk5MjczMzE0LCJleHAiOjE2OTkyNzMzNzR9.xMOjtNp2AESTjuSq9G75DaZh9M1dDuLDr4s7yw-xw_Q;Claims

claims

parseJWT(token);System.out.println(claims);}

}7.

renderString(HttpServletResponse

response,

{try{response.setStatus(200);response.setContentType(application/json);response.setCharacterEncoding(utf-8);response.getWriter().print(string);}catch

(IOException

的authenticate()方法来进行用户认证。

SpringSecurity对登录接口进行放行。

注入AuthenticationManager对登录接口进行放行。

package

super.authenticationManagerBean();}//

对登录接口进行放行

antMatchers(/user/login).anonymous()Overrideprotected

void

{http//关闭csrf.csrf().disable()//不通过Session获取SecurityContext.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authorizeRequests()//

对于登录接口

允许匿名访问.antMatchers(/user/login).anonymous()//

除上面外的所有请求全部需要鉴权认证.anyRequest().authenticated();}

}9.

org.ymqx.domain.ResponseResult;

import

authenticationManager;Autowiredprivate

RedisCache

1、自定义authenticationTokenUsernamePasswordAuthenticationToken

authenticationToken

UsernamePasswordAuthenticationToken(user.getUserName(),user.getPassword());Authentication

authenticate

authenticationManager.authenticate(authenticationToken);if(Objects.isNull(authenticate)){throw

new

authenticate.getPrincipal();String

userId

loginUser.getUser().getId().toString();String

jwt

userId;System.out.println(key);redisCache.setCacheObject(key,

loginUser);//

4、把token响应给前端HashMapString,String

map

SecurityContextHolder.getContext().getAuthentication();//

2、获取

authentication.getPrincipal();Long

userid

loginUser.getUser().getId();redisCache.deleteObject(login:

userid);return

提示信息如果有错误时前端可以获取该字段进行提示*/private

String

loginServcie;PostMapping(/user/login)public

ResponseResult

中获取用户信息存入SecurityContextHolder。

13.

filter.JwtAuthenticationTokenFilter

package

doFilterInternal(HttpServletRequest

request,

request.getHeader(token);System.out.println(token

token);if

{//放行filterChain.doFilter(request,

response);return;}//

claims.getSubject();System.out.println(userid

userid);}

redisCache.getCacheObject(redisKey);System.out.println(id

loginUser.getUser().getId());if(Objects.isNull(loginUser)){throw

new

4、存入SecurityContextHolder//TODO

获取权限信息封装到Authentication中UsernamePasswordAuthenticationToken

authenticationToken

UsernamePasswordAuthenticationToken(loginUser,null,null);SecurityContextHolder.getContext().setAuthentication(authenticationToken);//

5、放行filterChain.doFilter(request,

response);}

{AutowiredJwtAuthenticationTokenFilter

jwtAuthenticationTokenFilter;Overrideprotected

void

{http//关闭csrf.csrf().disable()//不通过Session获取SecurityContext.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authorizeRequests()//

对于登录接口

允许匿名访问.antMatchers(/user/login).anonymous()//

除上面外的所有请求全部需要鉴权认证.anyRequest().authenticated();//把token校验过滤器添加到过滤器链中http.addFilterBefore(jwtAuthenticationTokenFilter,

UsernamePasswordAuthenticationFilter.class);}...

}http.addFilterBefore(jwtAuthenticationTokenFilter,

UsernamePasswordAuthenticationFilter.class);

token