Spring （34）如何在Spring Security中配置自定义用户服务

在Spring Security中，自定义用户服务通常意味着实现UserDetailsService接口来从你自己的数据源加载用户详情。这个接口定义了一个方法loadUserByUsername(String username)，这个方法负责查找并返回一个UserDetails实例，该实例封装了用户的信息，包括用户名、密码和授权。

步骤1：实现UserDetailsService接口

首先，你需要创建一个类来实现UserDetailsService接口。这个类将负责从数据库、LDAP、文件或其他任何地方加载用户信息。

import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 从你的数据源中获取用户信息的逻辑
        // 这里假设我们从某个方法中获取了UserEntity实例
        UserEntity userEntity = findUserByUsername(username);

        if (userEntity == null) {
            throw new UsernameNotFoundException("User not found with username: " + username);
        }

        // User是Spring Security提供的UserDetails实现
        return User.builder()
            .username(userEntity.getUsername())
            .password(userEntity.getPassword())
            // authorities接受一个GrantedAuthority的集合
            .authorities(userEntity.getRoles().stream()
                .map(role -> new SimpleGrantedAuthority(role.getName()))
                .collect(Collectors.toList()))
            .build();
    }

    private UserEntity findUserByUsername(String username) {
        // 实现查找用户的逻辑
        // 这可能涉及到数据库查询等操作
        return null; // 模拟代码，实际开发中应该返回真实数据
    }
}

注意，上述代码片段中的UserEntity和findUserByUsername方法是假设的，你需要根据自己的应用需求实现它们。

步骤2：配置Spring Security以使用自定义UserDetailsService

一旦你实现了自定义的UserDetailsService，下一步是在Spring Security配置中注册它，以便Spring Security在进行认证时使用你的服务。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    private final CustomUserDetailsService userDetailsService;

    public WebSecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        // 使用BCrypt密码编码器
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/home").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
            .logout()
            .permitAll();
    }
}

在上面的配置类中，我们通过configure(AuthenticationManagerBuilder auth)方法注册了我们的CustomUserDetailsService和一个密码编码器（在这个例子中是BCryptPasswordEncoder）。这样，当需要进行用户认证时，Spring Security会使用我们提供的服务来获取用户详情。

深入UserDetailsService和UserDetails

• UserDetailsService接口：这是一个核心接口，在Spring Security中扮演着非常重要的角色。它只有一个方法loadUserByUsername(String username)，这个方法需要返回一个UserDetails对象，该对象封装了用户的信息，包括用户名、密码、权限等。

• UserDetails接口：这个接口定义了一些方法，用于获取用户名、密码、权限以及账户状态（是否过期、是否锁定等）。Spring Security提供了一个User类的实现，这个实现已经足够满足大多数需求，但你也可以根据需要来扩展或自定义实现。

通过这种方式，Spring Security提供了一种灵活而强大的机制来集成不同的认证源和方法，让开发者可以轻松地根据自己的需求来定制认证过程。