认证授权【Spring Security】

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。由于它是Spring生态系统中的一员因此它伴随着整个Spring生态系统不断修正、升级在spring boot项目中加入spring security更是十分简单使用Spring Security减少了为企业系统安全控制编写大量重复代码的工作。快速使用1. 引入security依赖!-- Spring Security依赖 -- dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-security/artifactId /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId scopeprovided /scope /dependency启动项目控制台自动输出密码。每次项目启动密码都会重新生成。在浏览器输入本地ip端口会跳出一个security默认登录页面这就是 spring Security生效了。默认用户名为user。成功后的页面如下所示基本原理SpringSecurity 本质上是一个过滤器链有很多个过滤器。FilterSecurityInterceptor: 是一个方法级的权限过滤器基本位于过滤链的最底部ExceptionTranslationFilter:是个异常过滤器用来处理在认证授权过程中抛出的异常UsernamePasswordAuthenticationFilter:对 /login的POST请求做拦截, 校验表单中用户名,密码用户认证流程如下图所示客户端进行登录请求Spring Security 的 UsernamePasswordAuthenticationFilter过滤器将请求封装到 Authentication在UserDetailsService类调用loadUserByUsername方法返回一个UserDetails这个UserDetails封装了用户名及加密后的密码等信息获取UserDetails中的密码与Authentication中的密码通过PasswordEncoder进行加密匹配。认证核心组件系统中会有许多用户确认当前是哪个用户正在使用我们系统就是登录认证的最终目的。整个系统安全都是围绕当前登录用户展开的这个不难理解要是当前登录用户都不能确认了那A下了一个订单下到了B的账户上这不就乱套了。这一概念在Spring Security中的体现就是Authentication它存储了认证信息代表当前登录用户。我们在程序中如何获取并使用它呢我们需要通过SecurityContext来获取AuthenticationSecurityContext就是我们的上下文对象这个上下文对象则是交由SecurityContextHolder进行管理可以在程序任何地方使用它Authentication authentication SecurityContextHolder.getContext().getAuthentication();SecurityContextHolder原理非常简单就是使用ThreadLocal来保证一个线程中传递同一个对象Spring Security中三个核心组件​ 1、Authentication存储了认证信息代表当前登录用户​ 2、SeucirtyContext上下文对象用来获取Authentication​ 3、SecurityContextHolder上下文管理对象用来在程序任何地方获取SecurityContextAuthentication包含的信息​ 1、Principal用户信息没有认证时一般是用户名认证后一般是用户对象​ 2、Credentials用户凭证一般是密码​ 3、Authorities用户权限Spring Security 用户认证核心代码如下// 生成一个包含账号密码的认证信息 Authentication authenticationToken new UsernamePasswordAuthenticationToken(username, passwrod); // AuthenticationManager校验这个认证信息返回一个已认证的Authentication Authentication authentication authenticationManager.authenticate(authenticationToken); // 将返回的Authentication存到上下文中 SecurityContextHolder.getContext().setAuthentication(authentication);可以看到上面的核心代码AuthenticationManager 就是Spring Security用于执行身份验证的组件只需要调用它的authenticate方法即可完成认证。Spring Security默认的认证方式就是在UsernamePasswordAuthenticationFilter这个过滤器中进行认证的该过滤器负责认证逻辑。AuthenticationManager校验先根据用户名查出用户信息将查询到的用户密码和当前验证的密码加密后对比比对不成功则爆出异常提示。AuthenticationManager校验逻辑源码如下public Authentication authenticate(Authentication authentication) throws AuthenticationException { ...省略其他代码 // 传递过来的用户名 String username authentication.getName(); // 调用UserDetailsService的方法通过用户名查询出用户对象UserDetail查询不出来UserDetailService则会抛出异常 UserDetails userDetails this.getUserDetailsService().loadUserByUsername(username); // 获取传递过来的密码 String password authentication.getCredentials().toString(); // 使用密码解析器PasswordEncoder传递过来的密码是否和真实的用户密码匹配 if (!passwordEncoder.matches(password, userDetails.getPassword())) { // 密码错误则抛出异常 throw new BadCredentialsException(错误信息...); } // 注意这里返回的已认证Authentication是将整个UserDetails放进去充当Principal UsernamePasswordAuthenticationToken result new UsernamePasswordAuthenticationToken(userDetails, authentication.getCredentials(), userDetails.getAuthorities()); return result; ...省略其他代码 }问题1谁来执行查询用户信息的操作呢正常业务都是将用户信息存储在数据库中。这个业务操作就在UserDetailsService中进行UserDetailsService实现了 loadUserByUsernameString username 方法。问题2userDetails 对象有什么属性这里面包含了用户名和密码及其他常用字段但在实际开发中业务不一样实体属性也不一样。所以我们会重新实现该接口。但是这样需要重写很多方法。因此我们可以继承 Security提供的 User类org.springframework.security.core.userdetails.User。public interface UserDetails extends Serializable { /** * 用户权限集合这个权限对象现在不管它到权限时我会讲解 */ Collection? extends GrantedAuthority getAuthorities(); /** * 用户密码 */ String getPassword(); /** * 用户名 */ String getUsername(); /** * 用户没过期返回true反之则false */ boolean isAccountNonExpired(); /** * 用户没锁定返回true反之则false */ boolean isAccountNonLocked(); /** * 用户凭据(通常为密码)没过期返回true反之则false */ boolean isCredentialsNonExpired(); /** * 用户是启用状态返回true反之则false */ boolean isEnabled(); }即操作如下自定义一个User类然后通过继承Security的User类import com.atguigu.model.system.SysUser; import lombok.Data; import org.springframework.security.core.GrantedAuthority; import org.springframework.security.core.userdetails.User; import java.util.Collection; public class CustomUser extends User { /** * 我们自己的用户实体对象要调取用户信息时直接获取这个实体对象 */ private SysUser sysUser; public CustomUser(SysUser sysUser, Collection? extends GrantedAuthority authorities) { super(sysUser.getUsername(), sysUser.getPassword(), authorities); this.sysUser sysUser; } public SysUser getSysUser() { return sysUser; } public void setSysUser(SysUser sysUser) { this.sysUser sysUser; } }实操用户认证设置登录的用户名和密码方式一配置文件设置在上面我们通过security默认的用户名和密码登录了。现在我们想要自定用用户名和密码如何操作呢在SpringBoot项目中可以在 .properties 配置文件中指定用户名和密码。再次启动项目发现控制台不再输出密码了。spring.security.user.nameadmin spring.security.user.password123方式二配置类设置自定义一个配置类配置类内容如下之后重新测试Configuration public class SecurityConf extends WebSecurityConfigurerAdapter { Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { // 密码加密 BCryptPasswordEncoder passwordEncoder new BCryptPasswordEncoder(); String password passwordEncoder.encode(123); auth.inMemoryAuthentication().withUser(lucy).password(password).roles(admin); } Bean PasswordEncoder password() { return new BCryptPasswordEncoder(); } }方式三自定义设置1. 创建配置类设置使用哪个userDetailsService实现类Configuration public class SecurityConf2 extends WebSecurityConfigurerAdapter { Autowired private UserDetailsService userDetailsService; Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(userDetailsService).passwordEncoder(password()); } Bean PasswordEncoder password() { return new BCryptPasswordEncoder(); } }2. 编写实现类返回User对象User对象有用户名密码和操作权限Service(userDetailsService) // 将配置类中注入的UserDetailsService设定的名称在此引入 public class MyUserDetailService implements UserDetailsService { Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { ListGrantedAuthority auths AuthorityUtils.commaSeparatedStringToAuthorityList(role); return new User(lisi, new BCryptPasswordEncoder().encode(123), auths); } }上面的方式将用户名和密码固定死了真实的业务场景肯定是从数据库中查询用户信息的那么接下来将使用自定义的方式改造代码从数据库中获取用户信息。改进版本1. 自定义加密方法新建一个CustomMd5PasswordEncoder类实现 Security的 PasswordEncoder重写encode方法 这里采用MD5进行加密。import com.atguigu.common.util.MD5; import org.springframework.security.crypto.password.PasswordEncoder; import org.springframework.stereotype.Component; /** * 密码处理 * */ Component public class CustomMd5PasswordEncoder implements PasswordEncoder { public String encode(CharSequence rawPassword) { return MD5.encrypt(rawPassword.toString()); } public boolean matches(CharSequence rawPassword, String encodedPassword) { return encodedPassword.equals(MD5.encrypt(rawPassword.toString())); } }自定义了CustomMd5PasswordEncoder现在需要告诉 Spring Security用我的加密规则别用默认的。使用的地方在SecurityConfig配置类中。Configuration public class SecurityConf2 extends WebSecurityConfigurerAdapter { Autowired private UserDetailsService userDetailsService; Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(userDetailsService).passwordEncoder(password()); } Bean PasswordEncoder password() { // 原来return new BCryptPasswordEncoder(); // 现在换成自定义的 return new CustomMd5PasswordEncoder(); // 使用你自定义的 MD5 加密 } }2. 添加CustomUser对象import com.atguigu.model.system.SysUser; import lombok.Data; import org.springframework.security.core.GrantedAuthority; import org.springframework.security.core.userdetails.User; import java.util.Collection; public class CustomUser extends User { /** * 我们自己的用户实体对象要调取用户信息时直接获取这个实体对象 */ private SysUser sysUser; public CustomUser(SysUser sysUser, Collection? extends GrantedAuthority authorities) { super(sysUser.getUsername(), sysUser.getPassword(), authorities); this.sysUser sysUser; } public SysUser getSysUser() { return sysUser; } public void setSysUser(SysUser sysUser) { this.sysUser sysUser; } }CustomUser在 UserDetailsService 的实现类中被创建并返回。3. 实现 UserDetailsService 接口Service(userDetailsService) public class MyUserDetailService implements UserDetailsService { Autowired private UserMapper userMapper; Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { // 根据用户名查询数据库 User sysUser userMapper.selectByUsername(username); if (sysUser null) { return null; // 如果查不到用户返回null,由provider来抛异常 // throw new UsernameNotFoundException(用户名不存在); } // 2. 查询用户的权限列表 //ListString permissions userMapper.selectPermissionsByUserId(sysUser.getId()); // 3. 将权限转换为 GrantedAuthority 集合 // ListGrantedAuthority authorities permissions.stream() // .map(SimpleGrantedAuthority::new) // .collect(Collectors.toList()); // 4. 关键在这里使用 CustomUser return new CustomUser(sysUser, Collections.emptyList()); // 这里先返回一个空的权限 //return new CustomUser(sysUser, authorities); //第二个参数就是权限相关的 } }AuthenticationManager校验所调用的三个组件就已经做好实现了。此时我们可以在默认的登录页面查看效果。用户授权基于权限控制方法1使用 hasAuthority方法如果当前的主体具有指定的权限则返回true否则返回 false。源码如下所示1. 在配置类设置当前访问地址有哪些权限2. 在UserDetailsService实现的接口中把返回User对象设置权限方法2使用 hasAnyAuthority方法可以添加多个角色源码如下基于角色控制方法1使用 hasRole方法security会自动在角色上添加ROLE_前缀如写的是 sass, 则最后返回的是 ROLE_sass。源码如下所示所以在UserDetailsService实现的接口中需要添加ROLE_前缀方法2使用 hasAnyRole方法表示拥有其中一个角色就可以访问用英文逗号隔开总结角色与权限的区别权限是具体控制某个操作的如普通用户不能有查看和删除其他用户的权限。而角色是一个身份标识在于这个身份有没有某个操作权限如管理员可以有增删查改用户的权限普通用户没有增删查改用户的权限。注意权限Authority- 细粒度具体操作hasAuthority(USER_DELETE) // 有删除用户权限hasAnyAuthority(USER_DELETE, ADMIN_DELETE) // 有任一删除权限角色Role- 粗粒度身份标识hasRole(ADMIN) // 是管理员角色hasAnyRole(ADMIN, MANAGER) // 是管理员或经理