SpringSecurity
1.SpringSecurity的基础知识
SpringSecurity是spring中的一个安全管理框架，对比另一个安全框架shiro，他提供了更丰富的功能。一般来说web应用需要进行认证和授权。
认证：验证当前访问系统的是不是本系统的用户，并且要确认是具体哪一个用户
授权：经过认证后判断当前用户是否有权限进行某个操作
这两个操作就是SpringSecurity作为安全框架的核心功能
2.快速入门
先试用springboot快速构建web项目，编写pom依赖，编写启动类，编写controller。然后在pom中引入springsecurity的依赖
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
引入依赖后，它会自动在请求接口之前加一个拦截器，具体就是当你请求controller中的接口时会首先跳转到一个springsecurity的界面，登录之后才能进行接口访问。
3.认证
3.1 登录校验流程
（1）用户在登录界面发起登录请求时会携带账户和密码，同时这个登录的接口是直接在拦截器的配置里配置为放行的，然后服务器接收到账户密码进行数据库查询和比对，一致的话会根据账户id或者用户名使用jwt的工具类生成一个jwt的令牌然后返回给前端，这个token包含的信息为用户的id和她的权限信息。
（2）登录完成后进行其他接口请求的时候，这个jwt令牌或者token就会和接口一起传给服务端，然后服务端的springsecurity的拦截器就会先拦截这个请求，然后解析这个token，取出这个token里面的信息，例如用户id，权限信息，如果当前请求用户具有这个权限则会放行，然后就是正常的访问资源的流程。
3.2 springsecurity完整流程
springsecurity原理是一个过滤器链条，这个链条包含了各种功能的过滤器，其中有些是核心过滤器，就是用的最多的。
（1）UsernamePasswordAuthenticationFilter:负责处理我们在登陆页面填写了用户名密码后的登陆请求。入门案例的认证工作主要有它负责。
（2）ExceptionTranslationFilter： 处理过滤器链中抛出的任何AccessDeniedException和AuthenticationException 。
（3）FilterSecurityInterceptor： 负责权限校验的过滤器。
3.3 认证详细的流程，主要是UsernamePasswordAuthenticationFilter
（1）拦截器拦截请求获取到用户名和密码
（2）调用UsernamePasswordAuthenticationFilter的实现类就是调用Authentication接口，解析jwt的token获取到用户信息，把用户名和密码封装成Authentication对象，只不过目前的Authentication对象里面的信息只有用户名和密码，还没有权限信息
（3）Providermanager调用AuthenticationManager接口进行认证
（4）AuthenticationManager调用DaoAuthenticationProvider的authenicate方法进行认证
（5）authenicate调用loadUserByUsername方法就是UserDetailsService接口查询用户，然后通过用户名查询到这个用户的权限信息，然后把该用户信息和权限信息封装成UserDetails对象
（6）调用UserDetails接口把UserDetails对象设置到Authentication对象中
（7）返回Authentication对象
（8）如果7返回了对象，就将其对象缓存在服务端本地，一般缓存在redis，方便下一次身份验证
4.实战
认证
（1）引入redis，fastjson，jwt的依赖
（2）导入redis的工具类和设置redis配置，方便调用方法。导入jwt的工具类。导入json响应类，设置数据库实体类，配置好mybatisplus和mysql等的依赖，mapper和yml等
（3）创建一个类实现UserDetailsService接口，重写其中的方法。增加用户名从数据库中查询用户信息
（4）编写一个登录接口
（5）我们需要编写springsecurity的config文件，然后把登录接口放行
（6）登录成功后生成jwt的token存入redis然后返回给前端
（7）因为自带的过滤器方法并不能实现查数据库，因此我们需要自行自定义一个过滤器，然后实现查询数据库进行权限查询和账户验证
（8）退出的逻辑是，先从SecurityContextHolder中获取到信息，然后去redis中查询并把它删除
授权
（1） SpringSecurity为我们提供了基于注解的权限控制方案，我们可以使用注解去指定访问对应的资源所需的权限。但是要使用它我们需要先开启相关配置。
@EnableGlobalMethodSecurity(prePostEnabled = true)然后就可以使用对应的注解。@PreAuthorize
@RestController
public class HelloController {
@RequestMapping("/hello")
@PreAuthorize("hasAuthority('test')")
public String hello(){
return "hello";
}
}
在重写UserDetailsServiceImpl时，在查询出用户后还要获取对应的权限信息，封装到UserDetails中返回。修改LoginUser实现UserDetails然后写入权限信息，UserDetails的实现类LoginUser，想要让其能封装权限信息就要对其进行修改。
@Data
@NoArgsConstructor
public class LoginUser implements UserDetails {
private User user;
//存储权限信息
private List<String> permissions;
public LoginUser(User user,List<String> permissions) {
this.user = user;
this.permissions = permissions;
}
//存储SpringSecurity所需要的权限信息的集合
@JSONField(serialize = false)
private List<GrantedAuthority> authorities;
@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
if(authorities!=null){
return authorities;
}
//把permissions中字符串类型的权限信息转换成GrantedAuthority对象存入authorities中
authorities = permissions.stream().
map(SimpleGrantedAuthority::new)
.collect(Collectors.toList());
return authorities;
}
@Override
public String getPassword() {
return user.getPassword();
}
@Override
public String getUsername() {
return user.getUserName();
}
@Override
public boolean isAccountNonExpired() {
return true;
}
@Override
public boolean isAccountNonLocked() {
return true;
}
@Override
public boolean isCredentialsNonExpired() {
return true;
}
@Override
public boolean isEnabled() {
return true;
}
}
LoginUser修改完后我们就可以在UserDetailsServiceImpl中去把权限信息封装到LoginUser中了。我们写死权限进行测试，后面我们再从数据库中查询权限信息。
@Service
public class UserDetailsServiceImpl implements UserDetailsService {
@Autowired
private UserMapper userMapper;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
LambdaQueryWrapper<User> wrapper = new LambdaQueryWrapper<>();
wrapper.eq(User::getUserName,username);
User user = userMapper.selectOne(wrapper);
if(Objects.isNull(user)){
throw new RuntimeException("用户名或密码错误");
}
//TODO 根据用户查询权限信息 添加到LoginUser中
List<String> list = new ArrayList<>(Arrays.asList("test"));
return new LoginUser(user,list);
}
}
校验的时候从redis中获取权限
@Component
public class JwtAuthenticationTokenFilter extends OncePerRequestFilter {
@Autowired
private RedisCache redisCache;
@Override
protected void doFilterInternal(HttpServletRequest resuest, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
//获取token
String token = resuest.getHeader("token");
if (!StringUtils.hasLength(token)) {
//放行
filterChain.doFilter(resuest, response);
return;
}
//解析token
String userId;
try {
Claims claims = JwtUtil.parseJWT(token);
userId = claims.getSubject();
} catch (Exception e) {
e.printStackTrace();
throw new RuntimeException("token非法");
}
//从redis中获取用户信息
String redisKey = SysConsts.LOGIN_KEY + ":" + userId;
LoginUser loginUser = redisCache.getCacheObject(redisKey);
if (Objects.isNull(loginUser)) {
throw new RuntimeException("用户未登录");
}
//存入SecurityContextHolder
//TODO 获取权限信息封装到Authentication中
UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(loginUser, null,loginUser.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(authenticationToken);
//放行
filterChain.doFilter(resuest, response);
}
}
（2）从数据库查询权限信息，使用RBAC权限模型， RBAC权限模型（Role-Based Access Control）即：基于角色的权限控制。这是目前最常被开发者使用也是相对易用、通用权限模型。
（3）导入数据库表，引入实体类，写好mqpper，配置yml文件
（4）在UserDetailsServiceImpl中去调用该mapper的方法查询权限信息封装到LoginUser对象中即可。