• SpringSecurity-基于Web的认证与权限访问

    目录

    一、UserDetailsService接口

    二、PasswordEncoder接口

    三、从数据库认证实现登录

    3.1 数据库表

    3.2 实体类

    3.3 Mapper、数据库配置

    3.4 UserDetailsService实现类

    3.5 主配置类

    四、登录的相关配置

    五、角色、权限的认证配置

    六、自定义403页面

    七、注解的使用

    八、基于数据库的remeberMe

    九、注销

    十、CSRF

    一、UserDetailsService接口

            当什么也没有配置的时候，账号和密码是由 Spring Security 定义生成的。在查看认证过程源码的过程中也发现要关联UserDetailService来完成认证操作。而在实际项目中账号和密码都是从数据库中查询出来的。 所以我们要通过自定义逻辑控制认证逻辑。

            UserDetailsService 接口的方法：

    1. public interface UserDetailsService {
    2.     //根据用户名获取用户的详细信息
    3.     UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
    4. }

            UserDetailsService实现类的返回值是UserDetails类型的，该接口中的如下：

    1. public interface UserDetails extends Serializable {
    2. // 表示获取登录用户所有权限
    3. Collectionextends GrantedAuthority> getAuthorities();
    4. // 表示获取密码
    5. String getPassword();
    6. // 表示获取用户名
    7. String getUsername();
    8. // 表示判断账户是否过期
    9. boolean isAccountNonExpired();
    10. // 表示判断账户是否被锁定
    11. boolean isAccountNonLocked();
    12. // 表示凭证{密码}是否过期
    13. boolean isCredentialsNonExpired();
    14. // 表示当前用户是否可用
    15. boolean isEnabled();
    16. }

            UserDetails的典型实现类-User

    1. public class User implements UserDetails, CredentialsContainer {
    2. ... ...
    3. public User(String username, String password, Collection authorities) {
    4.         this(username, password, true, true, true, true, authorities);
    5.     }
    6. //参数：名字、密码、权限的集合
    7. //注：客户端传来的数据名字应该也是username、password
    8. ... ...
    9. }

    二、PasswordEncoder接口

    1. public interface PasswordEncoder {
    2.  
    3.     String encode(CharSequence rawPassword);
    4.     // 表示把参数按照特定的解析规则进行解析
    5.  
    6.     boolean matches(CharSequence rawPassword, String encodedPassword);
    7.     // 表示验证从存储中获取的编码密码与编码后提交的原始密码是否匹配。如果密码匹
    8.     //配，则返回 true；如果不匹配，则返回 false。第一个参数表示需要被解析的密码。第二个
    9.     //参数表示存储的密码。
    10.  
    11.     default boolean upgradeEncoding(String encodedPassword) {return false;}
    12.     // 表示如果解析的密码能够再次进行解析且达到更安全的结果则返回 true，否则返回
    13.     //false。默认返回 false。
    14. }

            BCryptPasswordEncoder 是对 bcrypt 强散列方法的具体实现。是基于 Hash 算法实现的单 向加密。可以通过 strength 控制加密强度，默认 10.

            测试：

    1. @Test
    2.     void testEncoder(){
    3.         BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
    4.         String text= "hello,wz!";
    5.  
    6.         //加密
    7.         String encodedText = encoder.encode(text);
    8.         System.out.println("加密后:"+encodedText);
    9.  
    10.         //判断加密前后数据是否一致
    11.         System.out.println(encoder.matches(text, encodedText));
    12.     }
    13.  
    14. 结果：
    15. 加密后:$2a$10$BTmx9NhVz9LbqXboK3aTXOm7QDyFzXdlNiBMWg1.2L0MRMqqAmuEe
    16. true

    三、从数据库认证实现登录

    3.1 数据库表

    1. //用户表    (1，'wz',123456)(2，'zp',123456)
    2. create table users(
    3.      id bigint primary key auto_increment,
    4.      username varchar(20) unique not null,
    5.      password varchar(100)
    6. );
    7.  
    8. //角色表    (1,'admin')(2,'user')
    9. create table role(
    10.     id bigint primary key auto_increment,
    11.     name varchar(20)
    12. );
    13.  
    14. //用户与角色绑定     (1,1)(2,2)
    15. create table role_user(
    16.     uid bigint,
    17.     rid bigint
    18. );
    19.  
    20. //权限表    (1,'insert')(2,'delete')(3,'update')(4,'select')
    21. create table auth(
    22.     id bigint primary key auto_increment,
    23.     name varchar(20)
    24. );
    25.  
    26. //权限与角色绑定     (1,1)(1,2)(1,3)(1,4)(2,4)
    27. create table role_auth(
    28.     rid bigint,
    29.     aid bigint
    30. );

    3.2 实体类

    1. @Data
    2. public class Users {
    3.     private Integer id;
    4.     private String username;
    5.     private String password;
    6. }

    3.3 Mapper、数据库配置

    1. //@MapperScan("com.wz.springsecurity_web.mapper")  注意！此注解加在springboot启动类上
    2. @Repository
    3. public interface UsersMapper extends BaseMapper {
    4.     String selectUserRole(String username);//获取角色
    5.     List selectUserAuths(String username);//获取权限
    6. }
    1. "1.0" encoding="UTF-8" ?>
    2. mapper
    3.         PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN"
    4.         "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
    5. <mapper namespace="com.wz.springsecurity_web.mapper.UsersMapper">
    6.  
    7.     <select id="selectUserRole" resultType="java.lang.String">
    8.         SELECT r.name role FROM users u,role_user ru, role r
    9.         WHERE u.`id`=ru.`uid`
    10.           AND r.`id`=ru.`rid`
    11.           AND u.`username`=#{username}
    12.     select>
    13.     <select id="selectUserAuths" resultType="java.lang.String">
    14.         SELECT a.name auth FROM users u,role_user ru, role r,role_auth ra,auth a
    15.         WHERE u.`id`=ru.`uid`
    16.           AND r.`id`=ru.`rid`
    17.           AND r.`id`=ra.`rid`
    18.           AND a.`id`=ra.`aid`
    19.           AND u.`username`=#{username}
    20.     select>
    21. mapper>
    1. spring:
    2.   datasource:
    3.     driver-class-name: com.mysql.cj.jdbc.Driver
    4.     url: jdbc:mysql://localhost:3306/spring_security
    5.     username: root
    6.     password: 310333

    3.4 UserDetailsService实现类

    1. @Service
    2. public class MyUserDetailsService implements UserDetailsService {
    3.     @Autowired
    4.     private UsersMapper usersMapper;
    5.  
    6.     @Override
    7.     public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    8.         QueryWrapper wrapper = new QueryWrapper<>();
    9.         wrapper.eq("username", username);
    10.         Users users = usersMapper.selectOne(wrapper);//根据名字去数据库查询,看用户是否存在
    11.         if (users == null) throw new UsernameNotFoundException("用户名不存在!");
    12.         else {
    13.             String role = usersMapper.selectUserRole(username);//获取角色
    14.             List auths = usersMapper.selectUserAuths(username);//获取权限
    15.  
    16.             List userAuths = new ArrayList<>();//创建一个存放权限与角色的集合
    17.             userAuths.add(new SimpleGrantedAuthority("ROLE_" + role));//把角色加到集合中
    18.             for (String auth : auths) userAuths.add(new SimpleGrantedAuthority(auth));//把权限加到集合中
    19.             return new User(users.getUsername(), new BCryptPasswordEncoder().encode(users.getPassword()), userAuths);
    20.         }
    21.     }
    22. }

    3.5 主配置类

    1. @Configuration
    2. public class SecurityConfig extends WebSecurityConfigurerAdapter {
    3.     @Autowired
    4.     private UserDetailsService userDetailsService;
    5.  
    6.     //注入 PasswordEncoder 类到 spring 容器中
    7.     @Bean
    8.     PasswordEncoder passwordEncoder(){return new BCryptPasswordEncoder();}
    9.     //指定密码的编码器
    10.     @Override
    11.     protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    12.         auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    13.     }
    14.  
    15.     @Override
    16.     protected void configure(HttpSecurity http) throws Exception {
    17.         http.formLogin();    // 表单登录
    18.         http.authorizeRequests()     //认证配置
    19.             .anyRequest()    // 任何请求
    20.             .authenticated();    // 都需要身份验证
    21.     }
    22. }

            接下来在浏览器中输入 localhost:8080/hello ，输入数据库中的账户和密码就成功登录了。

    四、登录的相关配置

             我们可以在配置类中设置：

                    登陆页面的资源路径

                    登录请求路径

                    登录成功的跳转路径

                    指定哪些路径不被拦截

    1. @Override
    2.     protected void configure(HttpSecurity http) throws Exception {
    3.         http.formLogin()    // 表单登录
    4.                 .loginPage("/login.html")//登录页面路径
    5.                 .loginProcessingUrl("/user/login")//登录请求路径
    6.                 .defaultSuccessUrl("/index").permitAll();//登陆成功跳转路径
    7.         http.authorizeRequests()     //认证配置
    8.                 .antMatchers("/hello","/user/login").permitAll() //指定的路径无需拦截
    9.                 .anyRequest()    // 其他任何请求
    10.                 .authenticated();    // 需要身份验证
    11.         http.csrf().disable();//关闭csrf
    12.     }

            login.html（resourse/static内）

    1. html>
    2. <html lang="en" xmlns:th="http://www.thymeleaf.org">
    3. <head>
    4.     <meta charset="UTF-8">
    5.     <title>登录title>
    6. head>
    7. <body>
    8. <form action="/user/login" method="post">
    9.     user: <input type="text" name="username"/><br/>
    10.     password:<input type="text" name="password"/><br/>
    11.     <input type="submit" value="login"/>
    12. form>
    13. body>
    14. html>

            index.html(resourse/templates内)

    1. html>
    2. <html lang="en" xmlns:th="http://www.thymeleaf.org">
    3. <head>
    4.     <meta charset="UTF-8">
    5.     <title>首页title>
    6. head>
    7. <body>
    8.     <div>您已登录成功！欢迎来到首页！div>
    9. body>
    10. html>

            控制器方法

    1.  @GetMapping("/index")
    2.     public String index(){
    3.         return "index";
    4.     }

            这样一来，我们想要进入index.html的话会自动跳转至我们自定义的登录页面login.html，登录成功后跳转回index.html

    五、角色、权限的认证配置

            hasAuthority-        需要某个权限才可以访问

            hasAnyAuthority-        满足单个权限就可访问

            hasAnyRole-        需要某个角色才可以访问
                hasRole-        满足单个角色就可访问

            还是在配置类中配置：

    1.  @Override
    2.  protected void configure(HttpSecurity http) throws Exception {
    3. ... ...
    4. http.authorizeRequests()
    5.            .antMatchers("/hello","/user/login").permitAll()//不需要验证的请求路径
    6.            .antMatchers("/index").hasAnyAuthority("select","delete")//包含任何一个权限就可以访问这个路径
    7.            //.antMatchers("/index").hasRole("admin")//当前主体要提供这个角色才可以访问
    8. ... ...

            如果不满足条件，会返回403的错误。

    六、自定义403页面

            在配置类中配置：

    1. @Override
    2. protected void configure(HttpSecurity http) throws Exception {
    3. ... ...
    4.      http.exceptionHandling().accessDeniedPage("/unauth.html");//访问被拒绝时跳转的页面
    5. ... ...

            unauth.html(resources/static)

    1. html>
    2. <html lang="en" xmlns:th="http://www.thymeleaf.org">
    3. <head>
    4.     <meta charset="UTF-8">
    5.     <title>警告title>
    6. head>
    7. <body>
    8.     <div align="center"><h1>没有访问权限！h1>div>
    9. body>
    10. html>

    七、注解的使用

            @Secured：

                    判断是否具有角色，另外需要注意的是这里匹配的字符串需要添加前缀“ROLE_“。

            首先在springboot启动类上加注解

    @EnableGlobalMethodSecurity(securedEnabled=true)
    1. @Secured({"ROLE_admin","ROLE_user"})
    2. @GetMapping("/index")
    3.     public String index(){
    4.         return "index";
    5.     }

            @PreAuthorize：

                    进入方法前的权限验证。

             首先在springboot启动类上加注解

    @EnableGlobalMethodSecurity(prePostEnabled = true)
    1. @PreAuthorize("hasAnyAuthority('select','delete')")
    2. @GetMapping("/index")
    3.     public String index(){
    4.         return "index";
    5.     }

             @PostAuthorize:

                    方法执行后再进行权限验证.

            首先在springboot启动类上加注解

    @EnableGlobalMethodSecurity(prePostEnabled = true)

            还有@PostFilter、@PreFilter注解，可以对数据过滤 ，如

    1. @PostFilter("filterObject.username == 'admin1'")
    2. @PreFilter(value = "filterObject.id%2==0")

    八、基于数据库的remeberMe

            创建数据库表

    1. CREATE TABLE `persistent_logins` (
    2.  `username` varchar(64) NOT NULL,
    3.  `series` varchar(64) NOT NULL,
    4.  `token` varchar(64) NOT NULL,
    5.  `last_used` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE 
    6. CURRENT_TIMESTAMP,
    7.  PRIMARY KEY (`series`)
    8. ) ENGINE=InnoDB DEFAULT CHARSET=utf8;

            修改主配置类

    1. ... ...
    2.  @Autowired
    3.     DataSource dataSource;//注入数据源
    4.  @Bean
    5.     PersistentTokenRepository persistentTokenRepository(){
    6.         JdbcTokenRepositoryImpl jdbcTokenRepository=new JdbcTokenRepositoryImpl();
    7.         jdbcTokenRepository.setDataSource(dataSource);// 赋值数据源
    8.         jdbcTokenRepository.setCreateTableOnStartup(false);//自动创建表,第一次执行会创建，以后要执行就要删除掉！
    9.         return  jdbcTokenRepository;
    10.     }
    11.  
    12. ... ...
    13.  @Override
    14.  protected void configure(HttpSecurity http) throws Exception {
    15. ... ...
    16.     http.rememberMe().tokenRepository(persistentTokenRepository())
    17.                     .tokenValiditySeconds(60)//设置有效时长（s）
    18.                     .userDetailsService(userDetailsService);
    19. ... ...

            在登陆页login.html的表单中添加“记住我”选项

    记住我：<input type="checkbox"name="remember-me"title="记住密码"/><br/>

            这样登录之后即使关闭浏览器，短时间内也可以不用重新登录

    九、注销

            在index.html添加一个退出链接

    <a href="/logout">退出a>

            在配置类中添加退出映射地址

    1. @Override
    2. protected void configure(HttpSecurity http) throws Exception {
    3. ... ...
    4.     http.logout().logoutUrl("/logout").logoutSuccessUrl("/index").permitAll
    5. ... ...

            退出之后就需要重新登录了 

    十、CSRF

            跨站请求伪造（英语：Cross-site request forgery）是一种挟制用户在当前已登录的 Web 应用程序上执行非本意的操作的攻击方法，利用的是网站对用户网页浏览器的信任。

            跨站请求攻击，简单地说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个 自己曾经认证过的网站并运行一些操作（如发邮件，发消息，甚至财产操作如转账和购买 商品）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。 这利用了 web 中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。

            从 Spring Security 4.0 开始，默认情况下会启用 CSRF 保护，以防止 CSRF 攻击应用 程序，Spring Security CSRF 会针对 PATCH，POST，PUT 和 DELETE 方法进行防护。

            如何实现的？

                    1. 生成 csrfToken 保存到 HttpSession 或者 Cookie 中。

                    2. 请求到来时，从请求中提取 csrfToken，和保存的 csrfToken 做比较，进而判断当前请求是否合法。主要通过 CsrfFilter 过滤器来完成。

            若要开启这个功能，要从配置类中删除字段：

    // http.csrf().disable();

            在登录页面添加一个隐藏域：

    <input type="hidden"th:if="${_csrf}!=null"th:value="${_csrf.token}"name="_csrf"/>

  • 相关阅读:
    滑雪——DFS,BFS_DP记忆化搜索
    Python学习--函数传值问题
    【机器学习】机器学习中的人工神经元模型有哪些？
    Java面试题：当任务数超过线程池的核心线程数时，如何让它不进入队列，而是直接启用最大线程数
    ElasticSearch - 初步检索
    Seata源码研读#01-详解配置管理机制
    【Spring Boot实战】在线学习平台
    探索ChatGPT在提高人脸识别与软性生物识准确性的表现与可解释性
    电脑出现关于kernelbase.dll文件找不到的情况，有什么办法可以解决？
    Javascript 如何监听input输入框值的实时变化
  • 原文地址：https://blog.csdn.net/weixin_62427168/article/details/126393335