SpringSecurity】认证授权框架——SpringSecurity使用方法

文章目录【SpringSecurity】认证授权框架——SpringSecurity使用方法1.

概述2.

认证au***ntication、授权authorization和保护以抵御常见的攻击。

它对保护命令式和响应式应用程序有一流的支持是保护基于Spring的应用程序的事实标准。

它还提供了与其他库的集成以简化其使用。

Security

写这篇文章主要是为了复习SpringSecurity的相关知识在这里也向大家推荐b站up主

三更草堂

parentgroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-parent/artifactIdversion2.5.0/version

/parent

dependenciesdependencygroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-web/artifactId/dependencydependencygroupIdorg.projectlombok/groupIdartifactIdlombok/artifactIdoptionaltrue/optional/dependency!--主要是这个依赖--dependencygroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-security/artifactId/dependency

/dependencies2.2

引入好依赖之后就可以启动应用了我们访问应用的任何一个接口都会跳转到SpringSecurity的一个默认登录页面(如下所示)

/login

使用默认的用户名和控制台上的密码就能够登录系统访问接口了。

在正常情况下我们需要禁用这个接口使用我们自定义的接口。

Username

我们主要了解第一种方式。

SpringSecurity认证通过过滤器链实现

SpringSecurity的过滤器链包含15个过滤器上图只展示了较为核心的过滤器。

SecurityContextPersistenceFilter过滤器链的入口和出口保存和清除

SecurityContext

。

UsernamePasswordAu***nticationFilter负责收集我们在登陆页面输入的用户名和密码并封装成Au***ntication对象。

ExceptionTranslationFilter只处理过滤器链中抛出的任何AccessDeniedException和Au***nticationException

其他异常继续抛出。

FilterSecurityInterceptor负责权限校验的过滤器。

3.1

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ailkTJHA-1680426554649)(null)]

Au***ntication是一个接口它的实现类表示当前访问系统的用户封装了用户相关信息。

Au***nticationManager也是一个接口声明了认证Au***ntication的方法UserDetailsService还是一个接口加载用户特定数据的核心接口。

里面定义了一个根据用户名查询用户信息的方法。

UserDetails接口提供核心用户信息。

通过UserDetailsService根据用户名获取处理的用户信息要封装成UserDetails对象返回。

然后将这些信息封装到Au***ntication对象中。

3.2

自定义实现UserDetailService接口的类A替代原有实现类。

校验通过则使用jwt工具类生成tokentoken生成规则有两种

4.1

使用用户基本信息的json串(脱敏)生成token服务端不必存储用户信息。

校验流程

解析获得用户id根据用户id从redis中获得用户信息存入SecurityContextHolder。

2.2

解析获得用户信息json串将其反序列化为用户对象存入SecurityContextHolder。

3.3

创建UserDetailsService接口的实现类在其中对用户进行认证和授权。

Service

LambdaQueryWrapper();queryWrapper.eq(StringUtils.isNotBlank(username),

User::getUserName,

userMapper.selectOne(queryWrapper);if

{throw

RuntimeException(用户名或密码错误);}//todo

查询对应的权限信息//把数据封装成UserDetails返回UserDetails

userDetails

org.springframework.security.core.userdetails.User.withUsername(user.getUserName()).password(user.getPassword()).authorities(new

userDetails;}

}除了使用security提供的生成UserDetails对象的方法外我们还可以选择自定义。

我们新创建一个类

user.getPassword();}Overridepublic

String

user.getUserName();}Overridepublic

boolean

LambdaQueryWrapper();queryWrapper.eq(StringUtils.isNotBlank(username),

User::getUserName,

userMapper.selectOne(queryWrapper);if

{throw

RuntimeException(用户名或密码错误);}//todo

查询对应的权限信息//把数据封装成UserDetails返回return

new

我们不会在数据库中使用明文的方式存储密码我们需要存储的是加密之后的密码。

SpringSecurity默认使用的PasswordEncoder要求数据库中的密码格式为{id}password

。

它会根据id去判断密码的加密方式。

这种方式不太行所以我们需要使用BCryptPasswordEncoder去替代原来的PasswordEncoder。

我们只需要定义一个SpringSecurity的配置类并且让这个类继承

Configuration

userService;PostMapping(/user/login)public

ResponseResult

我们需要让SpringSecurity对自定义的接口放行让用户不用登陆也可以访问。

然后在

login(user)

中调用Au***nticationManager的au***nticate方法来进行用户认证所以需要在SpringSecurity配置类中进行以下两点配置

对自定义登录接口放行把

BCryptPasswordEncoder();}//注入Au***nticationManager对象OverrideBeanpublic

throws

super.au***nticationManagerBean();}//对登录接口放行Overrideprotected

void

{http//关闭csrf.csrf().disable()//不通过Session获取SecurityContext.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authorizeRequests()//

对于登录接口

允许匿名访问(未登录时可以访问登陆后不能访问).antMatchers(/user/login).anonymous()//

除上面外的所有请求全部需要鉴权认证.anyRequest().au***nticated();}

}3.3.3.2

stringRedisTemplate;Autowiredprivate

au***nticationManager;Overridepublic

ResponseResult

方法进行用户认证UsernamePasswordAu***nticationToken

au***nticationToken

UsernamePasswordAu***nticationToken(user.getUserName(),

user.getPassword());Au***ntication

au***nticate

au***nticationManager.au***nticate(au***nticationToken);}

catch

RuntimeException(e.getMessage());}if

(au***nticate

RuntimeException(登陆失败);}//如果认证未通过则给出对应提示//通过则使用userid生成一个jwtjwt存入ResponseResultLoginUser

loginUser

au***nticate.getPrincipal();String

userId

loginUser.getUser().getId().toString();String

jwt

JwtUtil.createJWT(userId);MapString,

String

jwt);//把用户信息存入redisstringRedisTemplate.opsForValue().set(login:

userId,

JSON.toJSONString(loginUser));return

new

stringRedisTemplate;Overrideprotected

void

doFilterInternal(HttpServletRequest

request,

{//没有token//放行让后面的认证过滤器去拒绝filterChain.doFilter(request,

response);return;}//解析tokenString

userId;try

RuntimeException(token非法);}//拼接redis的keyString

key

stringRedisTemplate.opsForValue().get(key);if

(StringUtils.isBlank(userJson))

{throw

RuntimeException(用户未登录);}LoginUser

loginUser

LoginUser.class);//存入SecurityContextHolder//todo

还未授权UsernamePasswordAu***nticationToken

au***nticationToken

UsernamePasswordAu***nticationToken(loginUser,

null,

null);SecurityContextHolder.getContext().setAu***ntication(au***nticationToken);//放行filterChain.doFilter(request,

response);}

定义了认证过滤器后我们还需要确定过滤器的执行顺序我们必须保证这个过滤器的执行在Security的认证过滤器之前所以我们把他放在

UsernamePasswordAu***nticationFilter

configure()

jwtAu***nticactionTokenFilter;protected

void

{http//关闭csrf.csrf().disable()//不通过Session获取SecurityContext.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authorizeRequests()//

对于登录接口

允许匿名访问(未登录时可以访问登陆后不能访问).antMatchers(/user/login).anonymous()//

除上面外的所有请求全部需要鉴权认证.anyRequest().au***nticated();//把自定义认证过滤器放在

UsernamePasswordAu***nticationFilter

过滤波器前面http.addFilterBefore(jwtAu***nticactionTokenFilter,

UsernamePasswordAu***nticationFilter.class);

}3.3.5

获得用户id利用用户id凭借redis的key值通过key值把redis中的用户信息删除

首先定义一个退出接口

{//获取SecurityContextHolder中的用户idAu***ntication

au***ntication

SecurityContextHolder.getContext().getAu***ntication();LoginUser

loginUser

au***ntication.getPrincipal();Long

loginUser.getUser().getId();//删除redis中的值stringRedisTemplate.delete(login:

id);return

在SpringSecurity中会使用默认的FilterSecurityInterceptor来进行权限校验。

在FilterSecurityInterceptor中会从SecurityContextHolder获取其中的Au***ntication然后获取其中的权限信息。

当前用户是否拥有访问当前资源所需的权限。

4.2

EnableGlobalMethodSecurity(prePostEnabled

PreAuthorize

PreAuthorize(hasAuthority(test))

public

权限的封装是在登录流程时发生的所以我们在登录方法中把权限信息封装进入

UserDetails

permissions;//权限集合,不用序列化到redisJSONField(serialize

false)private

permissions;}//将权限字符串集合封装成权限集合Overridepublic

Collection?

SimpleGrantedAuthority(item)).collect(Collectors.toSet());}return

String

user.getPassword();}Overridepublic

String

user.getUserName();}Overridepublic

boolean

LambdaQueryWrapper();queryWrapper.eq(StringUtils.isNotBlank(username),

User::getUserName,

userMapper.selectOne(queryWrapper);if

{throw

RuntimeException(用户名或密码错误!);}//查询对应的权限信息ListString

list

menuMapper.selectPermsByUserId(user.getId());return

new

UsernamePasswordAu***nticationToken

au***nticationToken

UsernamePasswordAu***nticationToken(loginUser,

null,

loginUser.getAuthorities());4.3

自定义权限校验方法

Security提供的权限校验方法比较单一且不灵活。

所以我们可以自定义权限校验方法并且在注解中使用我们的方法。

1自定义权限校验方法

SecurityContextHolder.getContext().getAu***ntication();LoginUser

loginUser

au***ntication.getPrincipal();ListString

permissions

loginUser.getPermissions();//判断用户是否拥有访问权限return

permissions.contains(authority);}

//PreAuthorize(hasAuthority(system:dept:list))

PreAuthorize(ex.hasAuthority(system:dept:list))

public

我们上面的示例都是基于注解的权限控制我们也可以通过配置来进行权限的控制如下所示

对于登录接口

允许匿名访问.antMatchers(/user/login).anonymous()//基于配置的权限控制.antMatchers(/testCors).hasAuthority(system:dept:list222)//

除上面外的所有请求全部需要鉴权认证.anyRequest().au***nticated();5.

自定义失败处理

我们还希望在认证失败或者是授权失败的情况下也能和我们的接口一样返回相同结构的json这样可以让前端能对响应进行统一的处理。

要实现这个功能我们需要知道SpringSecurity的异常处理机制。

在SpringSecurity中如果我们在认证或者授权的过程中出现了异常会被ExceptionTranslationFilter捕获到。

在ExceptionTranslationFilter中会去判断是认证失败还是授权失败出现的异常。

如果是认证过程中出现的异常会被封装成Au***nticationException然后调用Au***nticationEntryPoint对象的方法去进行异常处理。

如果是授权过程中出现的异常会被封装成AccessDeniedException然后调用AccessDeniedHandler对象的方法去进行异常处理。

所以如果我们需要自定义异常处理我们只需要自定义Au***nticationEntryPoint和AccessDeniedHandler然后配置给SpringSecurity即可。

5.1

ResponseResult(HttpStatus.UNAUTHORIZED.value(),

用户认证失败请重新登录);String

JSON.toJSONString(result);//处理异常WebUtils.renderString(httpServletResponse,

json);}

renderString(HttpServletResponse

response,

{try{response.setStatus(200);response.setContentType(application/json);response.setCharacterEncoding(utf-8);response.getWriter().print(string);}catch

(IOException

ResponseResult(HttpStatus.FORBIDDEN.value(),

权限不足);String

JSON.toJSONString(result);//处理异常WebUtils.renderString(httpServletResponse,

json);}

au***nticationEntryPoint;Autowired

private

{//省略其他配置......//配置异常处理器http.exceptionHandling().au***nticationEntryPoint(au***nticationEntryPoint)//认证失败处理器.accessDeniedHandler(accessDeniedHandler);//授权失败处理器

}6.

只有浏览器和服务端的之间的请求有跨域问题服务端和服务端之间是不存在跨域问题的。

Configuration

设置允许跨域的路径registry.addMapping(/**)//

设置允许跨域请求的域名.allowedOriginPatterns(*)//

是否允许cookie.allowCredentials(true)//

POST,

设置允许的header属性.allowedHeaders(*)//

}由于我们的资源都会收到SpringSecurity的保护所以想要跨域访问还要让SpringSecurity运行跨域访问。

Override

{//省略其他配置......//允许跨域http.cors();