Spring Security 认证的三种方式及简单的授权

·  阅读 2884

前面讲到Spring Security的基础使用及搭建,这里通过一个小项目再次实现Spring Security的三种验证方式

Spring Security 基础学习笔记

1.默认身份验证

在pom.xml文件映入SpringSecutrity依赖启动器,启动项目,访问文章列表页面时,出现默认的登录页,需要用默认用户名:user,密码源于控制台输出,也就是最基础的登录

2.内存身份验证

自定义用户名和密码(用户名和密码是写在代码内,不好维护),新建

  • 新建一个SecurityConfig的配置类,继承WebSecurityConfigurerAdapter类,重写configure(AuthenticationManagerBuilder auth)自定义身份认证
/*开启安全管理配置*/
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    /*自定义身份认证*/
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        /*密码编译器*/
        BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();

        /*1.基于内存的身份认证*/
        //添加两个账户密码
        auth.inMemoryAuthentication().passwordEncoder(encoder)
                .withUser("admin").password(encoder.encode("admin")).roles("admin")
                .and()
                .withUser("junko").password(encoder.encode("123456")).roles("common");
    }
}
复制代码

启动项目,需要输入上面定义好的账户密码才能进行登录,这里有三张表,分别为用户、权限、用户-权限表

3.使用UserDetails进行身份认证

创建查询用户及用户权限的接口

@Mapper
public interface TUserMapper {

 /*根据用户名去查询用户讯息*/
@Select("select * from t_user where username=#{username}")
public TUser selectUserByUserName(String username);
}
复制代码
@Mapper
public interface AuthorityMapper {
 /*根据用户名去查询用户权限*/
public List<Authority> selectAuthorityByUserName(String username);
}
复制代码
<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE mapper
        PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN"
        "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="net.junko.mapper.AuthorityMapper">

    <select id="selectAuthorityByUserName" resultType="net.junko.bean.Authority" parameterType="string">
        select a.* from t_user u,t_authority a,user_authority au where u.id=au.uid and a.id=au.aid and u.username=#{username}
    </select>
</mapper>
复制代码

编写UserDetailsServiceImpl实现类

前面说过,使用数据库的查询方法进行授权认证,需要实现UserDetailsService接口,重写loadUserByUsername方法

@Service
@Service
public class UserDetailsServiceImpl implements UserDetailsService {

    @Autowired
    TUserMapper userMapper;
    @Autowired
    AuthorityMapper authorityMapper;

    /*根据前端登录页面传入的用户名,查询出数据库对应的用户信息和用户权限,
    把用户信息和权限封装成UserDetails对象,交给SpringSecurity进行身份认证*/
    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {

        BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();

        /*根据用户名查询用户信息、权限信息*/
        TUser user = userMapper.selectUserByUserName(s);
        List<Authority> authorities = authorityMapper.selectAuthorityByUserName(s);

        /*遍历封装用户权限*/
        List<SimpleGrantedAuthority>  authorityList = new ArrayList<>();
		for (int i=0;i<authorities.size();i++)
        {
            authorityList.add(new SimpleGrantedAuthority(authorities.get(i).getAuthority()));
        }

        if(user!=null)
        {
            /*将用户名、密码、用户权限封装成UserDetails对象*/
            UserDetails userDetails = new User(user.getUsername(),encoder.encode(user.getPassword()),authorityList);
            return userDetails;
        }
        else {
            throw new UsernameNotFoundException("用户不存在");
        }
    }
}
复制代码

在SecurityConfig类内配置根据UserDetails进行身份认证

之前2的内存身份验证记得注释掉,注入UserDetailsServiceImpl

/*开启安全管理配置*/
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    UserDetailsServiceImpl userDetailsService;

    /*自定义身份认证*/
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        /*密码编译器*/
        BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();

        /*1.基于内存的身份认证*/
//        auth.inMemoryAuthentication().passwordEncoder(encoder)
//                .withUser("admin").password(encoder.encode("admin")).roles("admin")
//                .and()
//                .withUser("cai").password(encoder.encode("123457")).roles("common");

        /*2.使用UserDetails进行身份认证*/
        auth.userDetailsService(userDetailsService).passwordEncoder(encoder);
        }
 }
复制代码

测试,登录时用数据库内存储的用户信息

用户授权管理

在做好了认证方式后,想要指定不同的权限访问不同的页面,即自定义访问控制,则需要再进行一些设置

  • 在SecurityConfig配置类内重写configue(HttpSecurity http)方法,如果用户没有访问某页面的权限,会出现403页面错误,该错误页面提示可以根据自己的项目进行修改。
/*开启安全管理配置*/
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    UserDetailsServiceImpl userDetailsService;

    /*自定义身份认证*/
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        /*密码编译器*/
        BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();

        /*1.基于内存的身份认证*/
//        auth.inMemoryAuthentication().passwordEncoder(encoder)
//                .withUser("admin").password(encoder.encode("admin")).roles("admin")
//                .and()
//                .withUser("cai").password(encoder.encode("123457")).roles("common");

        /*2.使用UserDetails进行身份认证*/
        auth.userDetailsService(userDetailsService).passwordEncoder(encoder);
    }


    /*自定义用户权限*/
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        /*自定义访问控制*/
        http.authorizeRequests()
                .antMatchers("/").permitAll()  //表示放行“/”访问
                //根据用户拥有的不同权限配置访问权限
                .antMatchers("/admin/**").hasAuthority("admin")
                .antMatchers("/common/**").hasAuthority("common")
                .and()
                .formLogin();
    }
}
复制代码

在自定义用户权限设置后,就可以实现/路径下的页面不需要认证即可访问,/admin/**下的页面,则需要登录的用户具有admin权限才能访问,同理/common/**

分类:
后端
标签: