模板网站建设乐云seo效果好网站免费虚拟主机申请

1.SpringSecurity的基础知识

SpringSecurity是spring中的一个安全管理框架，对比另一个安全框架shiro，他提供了更丰富的功能。一般来说web应用需要进行认证和授权。

认证：验证当前访问系统的是不是本系统的用户，并且要确认是具体哪一个用户

授权：经过认证后判断当前用户是否有权限进行某个操作

这两个操作就是SpringSecurity作为安全框架的核心功能

2.快速入门

先试用springboot快速构建web项目，编写pom依赖，编写启动类，编写controller。然后在pom中引入springsecurity的依赖

        <dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId></dependency>

引入依赖后，它会自动在请求接口之前加一个拦截器，具体就是当你请求controller中的接口时会首先跳转到一个springsecurity的界面，登录之后才能进行接口访问。

3.认证

3.1 登录校验流程

（1）用户在登录界面发起登录请求时会携带账户和密码，同时这个登录的接口是直接在拦截器的配置里配置为放行的，然后服务器接收到账户密码进行数据库查询和比对，一致的话会根据账户id或者用户名使用jwt的工具类生成一个jwt的令牌然后返回给前端，这个token包含的信息为用户的id和她的权限信息。

（2）登录完成后进行其他接口请求的时候，这个jwt令牌或者token就会和接口一起传给服务端，然后服务端的springsecurity的拦截器就会先拦截这个请求，然后解析这个token，取出这个token里面的信息，例如用户id，权限信息，如果当前请求用户具有这个权限则会放行，然后就是正常的访问资源的流程。

3.2 springsecurity完整流程

springsecurity原理是一个过滤器链条，这个链条包含了各种功能的过滤器，其中有些是核心过滤器，就是用的最多的。

（1）UsernamePasswordAuthenticationFilter:负责处理我们在登陆页面填写了用户名密码后的登陆请求。入门案例的认证工作主要有它负责。

（2）ExceptionTranslationFilter： 处理过滤器链中抛出的任何AccessDeniedException和AuthenticationException 。

（3）FilterSecurityInterceptor： 负责权限校验的过滤器。

3.3 认证详细的流程，主要是UsernamePasswordAuthenticationFilter

（1）拦截器拦截请求获取到用户名和密码

（2）调用UsernamePasswordAuthenticationFilter的实现类就是调用Authentication接口，解析jwt的token获取到用户信息，把用户名和密码封装成Authentication对象，只不过目前的Authentication对象里面的信息只有用户名和密码，还没有权限信息

（3）Providermanager调用AuthenticationManager接口进行认证

（4）AuthenticationManager调用DaoAuthenticationProvider的authenicate方法进行认证

（5）authenicate调用loadUserByUsername方法就是UserDetailsService接口查询用户，然后通过用户名查询到这个用户的权限信息，然后把该用户信息和权限信息封装成UserDetails对象

（6）调用UserDetails接口把UserDetails对象设置到Authentication对象中

（7）返回Authentication对象

（8）如果7返回了对象，就将其对象缓存在服务端本地，一般缓存在redis，方便下一次身份验证

4.实战

认证

（1）引入redis，fastjson，jwt的依赖

（2）导入redis的工具类和设置redis配置，方便调用方法。导入jwt的工具类。导入json响应类，设置数据库实体类，配置好mybatisplus和mysql等的依赖，mapper和yml等

（3）创建一个类实现UserDetailsService接口，重写其中的方法。增加用户名从数据库中查询用户信息

（4）编写一个登录接口

（5）我们需要编写springsecurity的config文件，然后把登录接口放行

（6）登录成功后生成jwt的token存入redis然后返回给前端

（7）因为自带的过滤器方法并不能实现查数据库，因此我们需要自行自定义一个过滤器，然后实现查询数据库进行权限查询和账户验证

（8）退出的逻辑是，先从SecurityContextHolder中获取到信息，然后去redis中查询并把它删除

授权

（1） SpringSecurity为我们提供了基于注解的权限控制方案，我们可以使用注解去指定访问对应的资源所需的权限。但是要使用它我们需要先开启相关配置。

@EnableGlobalMethodSecurity(prePostEnabled = true)

然后就可以使用对应的注解。@PreAuthorize

@RestController
public class HelloController {@RequestMapping("/hello")@PreAuthorize("hasAuthority('test')")public String hello(){return "hello";}
}

在重写UserDetailsServiceImpl时，在查询出用户后还要获取对应的权限信息，封装到UserDetails中返回。修改LoginUser实现UserDetails然后写入权限信息，UserDetails的实现类LoginUser，想要让其能封装权限信息就要对其进行修改。

@Data
@NoArgsConstructor
public class LoginUser implements UserDetails {private User user;//存储权限信息private List<String> permissions;public LoginUser(User user,List<String> permissions) {this.user = user;this.permissions = permissions;}//存储SpringSecurity所需要的权限信息的集合@JSONField(serialize = false)private List<GrantedAuthority> authorities;@Overridepublic  Collection<? extends GrantedAuthority> getAuthorities() {if(authorities!=null){return authorities;}//把permissions中字符串类型的权限信息转换成GrantedAuthority对象存入authorities中authorities = permissions.stream().map(SimpleGrantedAuthority::new).collect(Collectors.toList());return authorities;}@Overridepublic String getPassword() {return user.getPassword();}@Overridepublic String getUsername() {return user.getUserName();}@Overridepublic boolean isAccountNonExpired() {return true;}@Overridepublic boolean isAccountNonLocked() {return true;}@Overridepublic boolean isCredentialsNonExpired() {return true;}@Overridepublic boolean isEnabled() {return true;}
}

 LoginUser修改完后我们就可以在UserDetailsServiceImpl中去把权限信息封装到LoginUser中了。我们写死权限进行测试，后面我们再从数据库中查询权限信息。

@Service
public class UserDetailsServiceImpl implements UserDetailsService {@Autowiredprivate UserMapper userMapper;@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {LambdaQueryWrapper<User> wrapper = new LambdaQueryWrapper<>();wrapper.eq(User::getUserName,username);User user = userMapper.selectOne(wrapper);if(Objects.isNull(user)){throw new RuntimeException("用户名或密码错误");}//TODO 根据用户查询权限信息 添加到LoginUser中List<String> list = new ArrayList<>(Arrays.asList("test"));return new LoginUser(user,list);}
}

校验的时候从redis中获取权限

@Component
public class JwtAuthenticationTokenFilter extends OncePerRequestFilter {@Autowiredprivate RedisCache redisCache;@Overrideprotected void doFilterInternal(HttpServletRequest resuest, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {//获取tokenString token = resuest.getHeader("token");if (!StringUtils.hasLength(token)) {//放行filterChain.doFilter(resuest, response);return;}//解析tokenString userId;try {Claims claims = JwtUtil.parseJWT(token);userId = claims.getSubject();} catch (Exception e) {e.printStackTrace();throw new RuntimeException("token非法");}//从redis中获取用户信息String redisKey = SysConsts.LOGIN_KEY + ":" + userId;LoginUser loginUser = redisCache.getCacheObject(redisKey);if (Objects.isNull(loginUser)) {throw new RuntimeException("用户未登录");}//存入SecurityContextHolder//TODO 获取权限信息封装到Authentication中UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(loginUser, null,loginUser.getAuthorities());SecurityContextHolder.getContext().setAuthentication(authenticationToken);//放行filterChain.doFilter(resuest, response);}
}

（2）从数据库查询权限信息，使用RBAC权限模型， RBAC权限模型（Role-Based Access Control）即：基于角色的权限控制。这是目前最常被开发者使用也是相对易用、通用权限模型。

（3）导入数据库表，引入实体类，写好mqpper，配置yml文件

（4）在UserDetailsServiceImpl中去调用该mapper的方法查询权限信息封装到LoginUser对象中即可。