一篇帶給你SpringBoot + Spring Security入門

這篇文章主要介紹了SpringBoot + Spring Security 簡單入門

一、Spring Security 基本介紹

這裡就不對Spring Security進行過多的介紹了，具體的可以參考官方文檔

我就只說下SpringSecurity核心功能:

1. 認證(你是誰)
2. 授權(你能幹什麼)
3. 攻擊防護(防止偽造身份)

二、基本環境搭建

這裡我們以SpringBoot作為項目的基本框架，我這裡使用的是maven的方式來進行的包管理，所以這裡先給出集成Spring Security的方式

1. <?xml version="1.0" encoding="UTF-8"?> 
2. <project xmlns="http://maven.apache.org/POM/4.0.0" 
3.          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
4.          xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd"> 
5.     <parent> 
6.         <artifactId>jeecg-boot-cloud-study</artifactId> 
7.         <groupId>com.jeecg.cloud</groupId> 
8.         <version>1.0.0</version> 
9.     </parent> 
10.     <modelVersion>4.0.0</modelVersion> 
11.  
12.     <artifactId>jeecg-boot-security</artifactId> 
13.  
14.     <dependencies> 
15.         <dependency> 
16.             <groupId>org.springframework.boot</groupId> 
17.             <artifactId>spring-boot-starter-web</artifactId> 
18.         </dependency> 
19.             <dependency> 
20.                 <groupId>org.springframework.boot</groupId> 
21.                 <artifactId>spring-boot-starter-security</artifactId> 
22.             </dependency> 
23.     </dependencies> 
24.  
25. </project> 

然後建立一個Web層請求接口

1. @RestController 
2. @RequestMapping("/user") 
3. public class UserController { 
4.   @GetMapping 
5.   public String getUsers() {     
6.     return "Hello Jeecg Spring Security"; 
7.   } 
8. } 

接下來可以直接進行項目的運行，並進行接口的調用看看效果了。

三、通過網頁的調用

我們首先通過瀏覽器進行接口的調用，直接訪問http://localhost:8080/user，如果接口能正常訪問，那麼應該顯示「Hello Jeecg Spring Security」。

但是我們是沒法正常訪問的，出現了下圖的身份驗證輸入框

這是因為在SpringBoot中，引入的Spring Security依賴，權限控制自動生效了，此時的接口都是被保護的，我們需要通過驗證才能正常的訪問。 Spring Security提供了一個默認的用戶，用戶名是user，而密碼則是啟動項目的時候自動生成的。

我們查看項目啟動的日誌，會發現如下的一段Log

• Using default security password: 62ccf9ca-9fbe-4993-8566-8468cc33c28c

當然你看到的password肯定和我是不一樣的，我們直接用user和啟動日誌中的密碼進行登錄。

登錄成功後，就跳轉到了接口正常調用的頁面了。

如果不想一開始就使能Spring Security，可以在配置文件中做如下的配置：

1. # security 使能 
2. security.basic.enabled = false 

剛才看到的登錄框是SpringSecurity是框架自己提供的，被稱為httpBasicLogin。顯示它不是我們產品上想要的，我們前端一般是通過表單提交的方式進行用戶登錄驗證的，所以我們就需要自定義自己的認證邏輯了。

四、自定義用戶認證邏輯

每個系統肯定是有自己的一套用戶體系的，所以我們需要自定義自己的認證邏輯以及登錄界面。 這裡我們需要先對SpringSecurity進行相應的配置

1. package org.jeecg.auth.config; 
2.  
3. import org.springframework.context.annotation.Configuration; 
4. import org.springframework.security.config.annotation.web.builders.HttpSecurity; 
5. import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; 
6.  
7. @Configuration 
8. public class SpringSecurityConfig extends WebSecurityConfigurerAdapter { 
9.  
10.     @Override 
11.     protected void configure(HttpSecurity http) throws Exception { 
12.         http.formLogin()          // 定義當需要用戶登錄時候，轉到的登錄頁面。 
13.                 .loginProcessingUrl("/user/login") // 自定義的登錄接口 
14.                 .and() 
15.                 .authorizeRequests()    // 定義哪些URL需要被保護、哪些不需要被保護 
16.                 .anyRequest()        // 任何請求,登錄後可以訪問 
17.                 .authenticated(); 
18.     } 
19. } 

自定義密碼加密解密

1. package org.jeecg.auth.config; 
2.  
3. import org.springframework.context.annotation.Bean; 
4. import org.springframework.security.crypto.password.PasswordEncoder; 
5. import org.springframework.stereotype.Component; 
6.  
7. @Component 
8. public class MyPasswordEncoder implements PasswordEncoder { 
9.     @Override 
10.     public String encode(CharSequence charSequence) { 
11.         return charSequence.toString(); 
12.     } 
13.  
14.     @Override 
15.     public boolean matches(CharSequence charSequence, String s) { 
16.         return s.equals(charSequence.toString()); 
17.     } 
18. } 

接下來再配置用戶認證邏輯，因為我們是有自己的一套用戶體系的

1. package org.jeecg.auth.config; 
2.  
3. import org.slf4j.Logger; 
4. import org.slf4j.LoggerFactory; 
5. import org.springframework.beans.factory.annotation.Autowired; 
6. import org.springframework.security.core.authority.AuthorityUtils; 
7. import org.springframework.security.core.userdetails.User; 
8. import org.springframework.security.core.userdetails.UserDetails; 
9. import org.springframework.security.core.userdetails.UserDetailsService; 
10. import org.springframework.security.core.userdetails.UsernameNotFoundException; 
11. import org.springframework.security.crypto.factory.PasswordEncoderFactories; 
12. import org.springframework.security.crypto.password.PasswordEncoder; 
13. import org.springframework.stereotype.Component; 
14.  
15. @Component 
16. public class MyUserDetailsService implements UserDetailsService { 
17.     private Logger logger = LoggerFactory.getLogger(getClass()); 
18.  
19.     @Autowired 
20.     private PasswordEncoder passwordEncoder; 
21.  
22.     @Override 
23.     public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { 
24.         logger.info("用戶的用戶名: {}", username); 
25.         // TODO 根據用戶名，查找到對應的密碼，與權限 
26.  
27.         // 封裝用戶信息，並返回。參數分別是：用戶名，密碼，用戶權限 
28.         User user = new User(username, passwordEncoder.encode("123456"), AuthorityUtils.commaSeparatedStringToAuthorityList("admin")); 
29.         return user; 
30.     } 
31. } 

這裡我們沒有進行過多的校驗，用戶名可以隨意的填寫，但是密碼必須得是「123456」，這樣才能登錄成功。

同時可以看到，這裡User對象的第三個參數，它表示的是當前用戶的權限，我們將它設置為」admin」。

我們這裡隨便填寫一個user，然後Password寫填寫一個錯誤的(非123456)的。這時會提示校驗錯誤：

同時在控制臺，也會列印出剛才登錄時填寫的user

現在我們再來使用正確的密碼進行登錄試試，可以發現就會通過校驗，跳轉到正確的接口調用頁面了。

六、UserDetails

剛剛我們在寫MyUserDetailsService的時候，裡面實現了一個方法，並返回了一個UserDetails。這個UserDetails 就是封裝了用戶信息的對象，裡面包含了七個方法

1. public interface UserDetails extends Serializable { 
2.   // 封裝了權限信息 
3.   Collection<? extends GrantedAuthority> getAuthorities(); 
4.   // 密碼信息 
5.   String getPassword(); 
6.   // 登錄用戶名 
7.   String getUsername(); 
8.   // 帳戶是否過期 
9.   boolean isAccountNonExpired(); 
10.   // 帳戶是否被凍結 
11.   boolean isAccountNonLocked(); 
12.   // 帳戶密碼是否過期，一般有的密碼要求性高的系統會使用到，比較每隔一段時間就要求用戶重置密碼 
13.   boolean isCredentialsNonExpired(); 
14.   // 帳號是否可用 
15.   boolean isEnabled(); 
16. } 

我們在返回UserDetails的實現類User的時候，可以通過User的構造方法，設置對應的參數

七、密碼加密解密

SpringSecurity中有一個PasswordEncoder接口

1. public interface PasswordEncoder { 
2.   // 對密碼進行加密 
3.   String encode(CharSequence var1); 
4.   // 對密碼進行判斷匹配 
5.   boolean matches(CharSequence var1, String var2); 
6. } 

我們只需要自己實現這個接口，並在配置文件中配置一下就可以了。

【編輯推薦】

【責任編輯：

姜華

TEL：[phone]】

點讚 0