springSecurity實(shí)現(xiàn)簡(jiǎn)單的登錄功能

更新時(shí)間：2022年09月06日 14:58:33 作者：_Kc

這篇文章主要為大家詳細(xì)介紹了springSecurity實(shí)現(xiàn)簡(jiǎn)單的登錄功能，文中示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下

前言

1、不使用數(shù)據(jù)庫(kù)，實(shí)現(xiàn)一個(gè)簡(jiǎn)單的登錄功能，只有在登錄后才能訪問(wèn)我們的接口
2、springSecurity提供了一種基于內(nèi)存的驗(yàn)證方法（使用自己定義的用戶(hù)，不使用默認(rèn)的）

一、實(shí)現(xiàn)用戶(hù)創(chuàng)建，登陸后才能訪問(wèn)接口(注重用戶(hù)認(rèn)證)

1.定義一個(gè)內(nèi)存用戶(hù)，不使用默認(rèn)用戶(hù)

重寫(xiě)configure(AuthenticationManagerBuilder auth)方法，實(shí)現(xiàn)在內(nèi)存中定義一個(gè) （用戶(hù)名/密碼/權(quán)限：admin/123456/admin）的用戶(hù)

package com.example.springsecurity;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.stereotype.Component;

@Configuration
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
? ? @Override
? ? protected void configure(AuthenticationManagerBuilder auth) throws Exception {
? ? ? ? //基于內(nèi)存的驗(yàn)證方法
? ? ? ? auth.inMemoryAuthentication().withUser("admin").password("123456").roles("admin");
? ? }

? ? @Override
? ? public void configure(WebSecurity web) throws Exception { ? ? ? ? ? ? //批處理靜態(tài)資源，都不攔截處理
? ? ? ? web.ignoring().mvcMatchers("/js/**","/css/**","/images/**");
? ? }

? ? @Override
? ? protected void configure(HttpSecurity http) throws Exception { ? ? ? // 這是一個(gè)重要的方法，這個(gè)方法決定了我們哪些請(qǐng)求會(huì)被攔截以及一些請(qǐng)求該怎么處理
? ? ? ? http.authorizeRequests() ?//安全過(guò)濾策略
? ? ? ? ? ? ? ? .antMatchers("/").permitAll()
? ? ? ? ? ? ? ? .anyRequest().authenticated()
? ? ? ? ? ? ? ? .and() //and添加允許別的操作
? ? ? ? ? ? ? ? .logout().permitAll() //允許支持注銷(xiāo)，支持隨意訪問(wèn)
? ? ? ? ? ? ? ? .and()
? ? ? ? ? ? ? ? .formLogin(); ? //允許表單登錄
? ? ? ? http.csrf().disable(); ?//關(guān)閉csrf認(rèn)證
? ? }
}

2.效果

根目錄可以直接通過(guò)驗(yàn)證，其他接口需要經(jīng)過(guò)springSecurity，輸入admin 123456后登陸系統(tǒng)

3.退出登陸

地址欄輸入：http://localhost:8080/login?logout，執(zhí)行退出登陸

4.再創(chuàng)建一個(gè)張三用戶(hù)，同時(shí)支持多用戶(hù)登陸

package com.example.springsecurity;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.stereotype.Component;

@Configuration
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
? ? @Override
? ? protected void configure(AuthenticationManagerBuilder auth) throws Exception {
? ? ? ? //基于內(nèi)存的驗(yàn)證方法
? ? ? ? auth.inMemoryAuthentication().withUser("admin").password("123456").roles("admin");
? ? ? ? auth.inMemoryAuthentication().withUser("zhangsan").password("123456").roles("admin");
? ? }

? ? @Override
? ? public void configure(WebSecurity web) throws Exception { ? ? ? ? ? ? //批處理靜態(tài)資源，都不攔截處理
? ? ? ? web.ignoring().mvcMatchers("/js/**","/css/**","/images/**");
? ? }

? ? @Override
? ? protected void configure(HttpSecurity http) throws Exception { ? ? ? // 這是一個(gè)重要的方法，這個(gè)方法決定了我們哪些請(qǐng)求會(huì)被攔截以及一些請(qǐng)求該怎么處理
? ? ? ? http.authorizeRequests() ?//安全過(guò)濾策略
? ? ? ? ? ? ? ? .antMatchers("/").permitAll()
? ? ? ? ? ? ? ? .anyRequest().authenticated()
? ? ? ? ? ? ? ? .and() //and添加允許別的操作
? ? ? ? ? ? ? ? .logout().permitAll() //允許支持注銷(xiāo)，支持隨意訪問(wèn)
? ? ? ? ? ? ? ? .and()
? ? ? ? ? ? ? ? .formLogin(); ? //允許表單登錄
? ? ? ? http.csrf().disable(); ?//關(guān)閉csrf認(rèn)證
? ? }
}

二、實(shí)現(xiàn)管理員功能(注重權(quán)限控制)

實(shí)現(xiàn)角色功能，不同角色擁有不同功能：管理員擁有管理功能，而普通組員只能擁有最普通的功能

1.創(chuàng)建一個(gè)普通用戶(hù)demo

auth.inMemoryAuthentication().withUser("demo").password("demo").roles("user");

創(chuàng)建demo用戶(hù)，角色為demo，詳細(xì)代碼如下

package com.example.springsecurity;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.stereotype.Component;

@Configuration
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
? ? @Override
? ? protected void configure(AuthenticationManagerBuilder auth) throws Exception {
? ? ? ? //基于內(nèi)存的驗(yàn)證方法
? ? ? ? auth.inMemoryAuthentication().withUser("admin").password("123456").roles("admin");
? ? ? ? auth.inMemoryAuthentication().withUser("zhangsan").password("123456").roles("admin");
? ? ? ? auth.inMemoryAuthentication().withUser("demo").password("demo").roles("user");
? ? }

? ? @Override
? ? public void configure(WebSecurity web) throws Exception { ? ? ? ? ? ? //批處理靜態(tài)資源，都不攔截處理
? ? ? ? web.ignoring().mvcMatchers("/js/**","/css/**","/images/**");
? ? }

? ? @Override
? ? protected void configure(HttpSecurity http) throws Exception { ? ? ? // 這是一個(gè)重要的方法，這個(gè)方法決定了我們哪些請(qǐng)求會(huì)被攔截以及一些請(qǐng)求該怎么處理
? ? ? ? http.authorizeRequests() ?//安全過(guò)濾策略
? ? ? ? ? ? ? ? .antMatchers("/").permitAll()
? ? ? ? ? ? ? ? .anyRequest().authenticated()
? ? ? ? ? ? ? ? .and() //and添加允許別的操作
? ? ? ? ? ? ? ? .logout().permitAll() //允許支持注銷(xiāo)，支持隨意訪問(wèn)
? ? ? ? ? ? ? ? .and()
? ? ? ? ? ? ? ? .formLogin(); ? //允許表單登錄
? ? ? ? http.csrf().disable(); ?//關(guān)閉csrf認(rèn)證
? ? }
}

2.創(chuàng)建/roleAuth接口

此接口只能admin角色才能登陸

1）、@EnableGlobalMethodSecurity注解使role驗(yàn)證注解生效
2）、@PreAuthorize(“hasRole(‘ROLE_admin’)”)注解聲明哪個(gè)角色能訪問(wèn)此接口

package com.example.springsecurity;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.security.config.annotation.authentication.configuration.EnableGlobalAuthentication;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@SpringBootApplication
@EnableGlobalMethodSecurity(prePostEnabled = true) ?//必須加這行，不然role驗(yàn)證無(wú)效
public class SpringsecurityApplication {

? ? public static void main(String[] args) {
? ? ? ? SpringApplication.run(SpringsecurityApplication.class, args);
? ? }

? ? @RequestMapping("/")
? ? public String home(){
? ? ? ? return "hello spring boot";
? ? }

? ? @RequestMapping("/hello")
? ? public String hello(){
? ? ? ? return "hello word";
? ? }

? ? @PreAuthorize("hasRole('ROLE_admin')") ?//當(dāng)我們期望這個(gè)方法經(jīng)過(guò)role驗(yàn)證的時(shí)候，需要加這個(gè)注解；ROLE必須大寫(xiě)
? ? @RequestMapping("/roleAuth")
? ? public String role(){
? ? ? ? return "admin ?Auth";
? ? }

}

3.效果

demo用戶(hù)登陸成功可以訪問(wèn)/接口，但是不能訪問(wèn)/roleAuth接口

admin管理員既能訪問(wèn)/接口，也能訪問(wèn)/roleAuth接口

三、實(shí)現(xiàn)數(shù)據(jù)庫(kù)管理用戶(hù)（注重?cái)?shù)據(jù)庫(kù)認(rèn)證用戶(hù)）

1.我們需要把之前創(chuàng)建的admin zhangsan demo三個(gè)用戶(hù)放到數(shù)據(jù)庫(kù)中 2.我們需要使用MyUserService來(lái)管理這些用戶(hù)
1.創(chuàng)建一個(gè)MyUserService類(lèi)
1.此類(lèi)實(shí)現(xiàn)UserDetailsService（這邊不真實(shí)查詢(xún)數(shù)據(jù)庫(kù)）

package com.example.springsecurity;

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Component;

@Component
public class MyUserService implements UserDetailsService {
? ? @Override
? ? public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
? ? ? ? return null;//數(shù)據(jù)庫(kù)操作邏輯
? ? }
}

2.密碼自定義驗(yàn)證類(lèi)
1.此類(lèi)實(shí)現(xiàn)自定義密碼驗(yàn)證

package com.example.springsecurity;

import org.springframework.security.authentication.encoding.Md5PasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

public class MyPasswdEncoder implements PasswordEncoder {
? ? private final static String SALT = "123456";
? ? @Override
? ? public String encode(CharSequence rawPassword) {
? ? ? ? //加密：堆原始的密碼進(jìn)行加密,這邊使用md5進(jìn)行加密
? ? ? ? Md5PasswordEncoder encoder = new Md5PasswordEncoder();
? ? ? ? return encoder.encodePassword(rawPassword.toString(), SALT);
? ? }

? ? @Override
? ? public boolean matches(CharSequence rawPassword, String encodedPassword) {
? ? ? ? //拿原始的密碼和加密后的密碼進(jìn)行匹配
? ? ? ? Md5PasswordEncoder encoder = new Md5PasswordEncoder();
? ? ? ? return encoder.isPasswordValid(encodedPassword,rawPassword.toString(),SALT);
? ? }
}

3.自定義數(shù)據(jù)庫(kù)查詢(xún)&默認(rèn)數(shù)據(jù)庫(kù)查詢(xún)、自定義密碼驗(yàn)證配置
1.支持自定義數(shù)據(jù)庫(kù)查詢(xún) 2.支持默認(rèn)數(shù)據(jù)庫(kù)查詢(xún)（數(shù)據(jù)庫(kù)結(jié)構(gòu)必須和默認(rèn)的一致）兩者選擇其中一個(gè)

package com.example.springsecurity;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.stereotype.Component;

@Configuration
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {

? ? @Autowired
? ? MyUserService myUserService;

? ? @Override
? ? protected void configure(AuthenticationManagerBuilder auth) throws Exception {
? ? ? ? //基于內(nèi)存的驗(yàn)證方法
// ? ? ? ?auth.inMemoryAuthentication().withUser("admin").password("123456").roles("admin");
// ? ? ? ?auth.inMemoryAuthentication().withUser("zhangsan").password("123456").roles("admin");
// ? ? ? ?auth.inMemoryAuthentication().withUser("demo").password("demo").roles("user");


? ? ? ? //1、自己實(shí)現(xiàn)數(shù)據(jù)庫(kù)的查詢(xún),指定我們要使用的UserService和自定義的密碼驗(yàn)證器
? ? ? ? auth.userDetailsService(myUserService).passwordEncoder(new MyPasswdEncoder());
? ? ? ? //2、sprinSecurity在數(shù)據(jù)庫(kù)管理方面支持一套默認(rèn)的處理,可以指定根據(jù)用戶(hù)查詢(xún)，權(quán)限查詢(xún)，這情況下用戶(hù)表必須和默認(rèn)的表結(jié)構(gòu)相同,具體查看user.ddl文件

? ? ? ? auth.jdbcAuthentication().usersByUsernameQuery("").authoritiesByUsernameQuery("").passwordEncoder(new MyPasswdEncoder());
? ? }

? ? @Override
? ? public void configure(WebSecurity web) throws Exception { ? ? ? ? ? ? //批處理靜態(tài)資源，都不攔截處理
? ? ? ? web.ignoring().mvcMatchers("/js/**","/css/**","/images/**");
? ? }

? ? @Override
? ? protected void configure(HttpSecurity http) throws Exception { ? ? ? // 這是一個(gè)重要的方法，這個(gè)方法決定了我們哪些請(qǐng)求會(huì)被攔截以及一些請(qǐng)求該怎么處理
? ? ? ? http.authorizeRequests() ?//安全過(guò)濾策略
? ? ? ? ? ? ? ? .antMatchers("/").permitAll()
? ? ? ? ? ? ? ? .anyRequest().authenticated()
? ? ? ? ? ? ? ? .and() //and添加允許別的操作
? ? ? ? ? ? ? ? .logout().permitAll() //允許支持注銷(xiāo)，支持隨意訪問(wèn)
? ? ? ? ? ? ? ? .and()
? ? ? ? ? ? ? ? .formLogin(); ? //允許表單登錄
? ? ? ? http.csrf().disable(); ?//關(guān)閉csrf認(rèn)證
? ? }
}

四、sprinSecurity支持的4種使用表達(dá)式的權(quán)限注解

1.支持的4種注解

@PreAuthorize("hasRole('ROLE_admin')") ?//1.方法調(diào)用前：當(dāng)我們期望這個(gè)方法經(jīng)過(guò)role驗(yàn)證的時(shí)候，需要加這個(gè)注解；ROLE必須大寫(xiě)
? ? @PostAuthorize("hasRole('ROLE_admin')")//2.方法調(diào)用后
? ? @PreFilter("")//2.對(duì)集合類(lèi)的參數(shù)或返回值進(jìn)行過(guò)濾
? ? @PostFilter("")//2.對(duì)集合類(lèi)的參數(shù)或返回值進(jìn)行過(guò)濾
? ? @RequestMapping("/roleAuth")
? ? public String role(){
? ? ? ? return "admin ?Auth";
? ? }

2.注解的參數(shù)該怎么傳

or用法：