Spring Boot(六):集成Spring Security

前言：

百度百科中是这样解释Spring Security的：
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

对于我的理解：
Spring Security可以集中一个权限控制系统，可以用来保护 Web 应用的安全；
核心功能是：

认证（你是谁）
授权（你能干什么）
攻击防护（防止伪造身份）

集成Spring Security步骤：

一、maven中添加依赖

<!--spring-boot-security安全框架SpringSecurity-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

这个是最首要，也是最关键的；配置好后，直接运行项目，打开浏览器，访问项目上的接口时，你会发现，访问不了，直接进入了一个登入页面，如下图：

图片.png

原因：因为在SpringBoot中，默认的Spring Security就是生效了的，此时的接口都是被保护的，我们需要通过验证才能正常的访问。
Spring Security提供了一个默认的用户，用户名是user，而密码则是启动项目的时候自动生成的。
我们查看项目启动的日志，会发现如下的一段Log：

图片.png

每个人看到的password肯定是不一样的，我们直接用user和启动日志中的密码进行登录。
登录成功后，就跳转到了接口正常调用的页面了。
如果你不想一开始就使能Spring Security，怎么办呢；
之前有人告诉我，在application配置中直接加：security.basic.enabled=false 即可；
不行！不行！不行！是真的不行呀，根本没有关闭Spring Security，查了下资料：
只有在spring boot1.5配置security关闭http基本验证,可以在application配置中增加；security.basic.enabled=false进行关闭，但是在spring boot 2.0+之后这样配置就不能生效了，下面的配置文件讲解中会降到怎么进行关闭，^- ^；

二、对SpringSecurity进行相应的配置

新建配置类：SecurityConfig，继承WebSecurityConfigurerAdapter类，然后重写父类中的configure(HttpSecurity http) 方法。如下

/**
 * @author AxeLai
 * @date 2019-04-30 15:15
 */
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //配置需要登入验证
        http.formLogin()          // 定义当需要用户登录时候，转到的登录页面。
                .and()
                .authorizeRequests()    // 定义哪些URL需要被保护、哪些不需要被保护
                .anyRequest()        // 任何请求,登录后可以访问
                .authenticated();

        //配置不需要登入验证
//        http.authorizeRequests()
//                .anyRequest()
//                .permitAll()
//                .and()
//                .logout()
//                .permitAll();
    }
}

上面代码中，注释‘配置需要登入验证’，打开‘配置不需要登入验证’就解决了security的关闭问题^- ^.

如果你只是为了测试Security的安全验证功能，上面这些就足够了；但是，如果需要进行登入的用户身份认证，权限设置等，还就需要接着往下看了：

三、配置用户认证逻辑

因为我们是要有自己的一套用户体系的，所以要配置用户认证：
新建LoginFilter配置类，继承UserDetailsService类：

package com.example.demo.loginfilter;

import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Component;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;


/**
 * @author AxeLai
 * @date 2019-05-01 14:01
 */
@Component
public class LoginFilter  implements UserDetailsService {
    private Logger logger = LoggerFactory.getLogger("adminLogger");

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        logger.info("用户的用户名: {}", username);
        // TODO 根据用户名，查找到对应的密码，与权限
        // 封装用户信息，并返回。参数分别是：用户名，密码，用户权限
        User user = new User(username, "123456",
                AuthorityUtils.commaSeparatedStringToAuthorityList("admin"));
        return user;
    }
}

这里我们没有进行过多的校验，用户名可以随意的填写，但是密码必须得是“123456”，这样才能登录成功。
同时可以看到，这里User对象的第三个参数，它表示的是当前用户的权限，我们将它设置为”admin”。
运行一下程序进行测试

图片.png

输入随意的用户和密码123456，发现根本登入不了；
后台报错：java.lang.IllegalArgumentException: There is no PasswordEncoder mapped for the id "null"

图片.png

下面说下原因：
这是因为Spring boot 2.0.3引用的security 依赖是 spring security 5.X版本，此版本需要提供一个PasswordEncorder的实例，否则后台汇报错误：
java.lang.IllegalArgumentException: There is no PasswordEncoder mapped for the id "null"
并且页面毫无响应。

更改：
把SecurityConfig改为：

package com.example.demo.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

/**
* @author AxeLai
* @date 2019-04-30 15:15
*/
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

   @Bean
   public PasswordEncoder passwordEncoder(){
       //当然，如果你有自己的加密方法，这个方法就写自己的加密方法好了
       return new BCryptPasswordEncoder();
   }

   @Override
   protected void configure(HttpSecurity http) throws Exception {
       //配置需要登入验证
       http.formLogin()          // 定义当需要用户登录时候，转到的登录页面。
               .and()
               .authorizeRequests()    // 定义哪些URL需要被保护、哪些不需要被保护
               .anyRequest()        // 任何请求,登录后可以访问
               .authenticated();

       //配置不需要登入验证
//        http.authorizeRequests()
//                .anyRequest()
//                .permitAll()
//                .and()
//                .logout()
//                .permitAll();
   }
}

把LoginFilter改为：

package com.example.demo.loginfilter;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Component;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;


/**
 * @author AxeLai
 * @date 2019-05-01 14:01
 */
@Component
public class LoginFilter  implements UserDetailsService {
    @Autowired
    private PasswordEncoder passwordEncoder;
    private Logger logger = LoggerFactory.getLogger("adminLogger");

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        logger.info("用户的用户名: {}", username);
        // TODO 根据用户名，查找到对应的密码，与权限
        // 封装用户信息，并返回。参数分别是：用户名，密码，用户权限
        User user = new User(username, passwordEncoder.encode("123456"),
                AuthorityUtils.commaSeparatedStringToAuthorityList("admin"));
        return user;
    }
}

重启项目，随便的用户名+密码123456登入，你就发现登入已经成功了 ,直接进入我们项目的首页，后台会获取到你的用户名：

图片.png

讲解：
1.当我们写LoginFilter 类时；里面实现了一个方法loadUserByUsername，并返回了一个UserDetails。这个UserDetails 就是封装了用户信息的对象，里面包含了七个方法：

//
// Source code recreated from a .class file by IntelliJ IDEA
// (powered by Fernflower decompiler)
//

package org.springframework.security.core.userdetails;

import java.io.Serializable;
import java.util.Collection;
import org.springframework.security.core.GrantedAuthority;

public interface UserDetails extends Serializable {
    Collection<? extends GrantedAuthority> getAuthorities();

    String getPassword();

    String getUsername();

    boolean isAccountNonExpired();

    boolean isAccountNonLocked();

    boolean isCredentialsNonExpired();

    boolean isEnabled();
}

我们在返回UserDetails的实现类User的时候，可以通过User的构造方法，设置对应的参数就可以;
2.SpringSecurity中有一个PasswordEncoder接口：

//
// Source code recreated from a .class file by IntelliJ IDEA
// (powered by Fernflower decompiler)
//

package org.springframework.security.crypto.password;

public interface PasswordEncoder {
    String encode(CharSequence var1);

    boolean matches(CharSequence var1, String var2);

    default boolean upgradeEncoding(String encodedPassword) {
        return false;
    }
}

我们只需要自己实现这个接口，并在配置文件中配置一下就可以了。
上面我只是暂时以默认提供的一个实现类进行测试：

    @Bean
    public PasswordEncoder passwordEncoder(){
        //当然，如果你有自己的加密方法，这个方法就写自己的加密方法好了
        return new BCryptPasswordEncoder();
    }

四、个性化用户认证逻辑

在上面的测试中，一直都是使用的默认的登录界面，我相信每个产品都是有自己的登录界面设计的，所以我们这一节了解一下如何自定义登录页面。
我们先写一个简单的登录页面login.html：


<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>登录页面</title>
</head>
<body>
<h2>自定义登录页面</h2>
<form action="/user/login" method="post">
    <table>
        <tr>
            <td>用户名：</td>
            <td><input type="text" name="username"></td>
        </tr>
        <tr>
            <td>密码：</td>
            <td><input type="password" name="password"></td>
        </tr>
        <tr>
            <td colspan="2"><button type="submit">登录</button></td>
        </tr>
    </table>
</form>
</body>
</html>

完成了登录页面之后，就需要将它配置进行SecurityConfig进行更改：

    //配置需要登入验证的自定义配置
        http.formLogin()          // 定义当需要用户登录时候，转到的登录页面。
                .loginPage("/login.html")      // 设置登录页面
                .loginProcessingUrl("/user/login") // 自定义的登录接口
                .and()
                .authorizeRequests()    // 定义哪些URL需要被保护、哪些不需要被保护
                .antMatchers("/login.html").permitAll()   // 设置所有人都可以访问登录页面
                .anyRequest()        // 任何请求,登录后可以访问
                .authenticated()
                .and()
                .csrf().disable();     // 关闭csrf防护

这样，每当我们访问被保护的接口的时候，就会调转到login.html页面,如下：

图片.png

最后附上项目结构图：

图片.png

代码已上传到：https://github.com/AxeLai/SpringBoot-.git
OVER IS NOT OVER!

番外

上面这些，是在前后端不分离的情况下进行开发编写的，现如今一般项目都前后端分离了，后端提供接口供前端调用，返回JSON格式的数据给前端。刚才那样，调用了被保护的接口，直接进行了页面的跳转，这样执行不太友好。
处理：在前后端分离的情况下，我们登录成功了直接向前端返回用户的个人信息，而不是直接进行跳转。登录失败也是同样的道理。
这里涉及到了Spring Security中的两个接口AuthenticationSuccessHandler和AuthenticationFailureHandler。我们可以实现这个接口，并进行相应的配置就可以了。当然框架是有默认的实现类的，我们可以继承这个实现类再来自定义自己的业务：

@Component("myAuthenctiationSuccessHandler")
public class MyAuthenctiationSuccessHandler extends SimpleUrlAuthenticationSuccessHandler {
  private Logger logger = LoggerFactory.getLogger(getClass());
  @Autowired
  private ObjectMapper objectMapper;
  @Override
  public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response,Authentication authentication) throws IOException, ServletException {
    logger.info("登录成功");
    response.setContentType("application/json;charset=UTF-8");
    response.getWriter().write(objectMapper.writeValueAsString(authentication));
  }
}

这里我们通过response返回一个JSON字符串回去。
这个方法中的第三个参数Authentication，它里面包含了登录后的用户信息（UserDetails），Session的信息，登录信息等。

@Component("myAuthenctiationFailureHandler")
public class MyAuthenctiationFailureHandler extends SimpleUrlAuthenticationFailureHandler {
 
  private Logger logger = LoggerFactory.getLogger(getClass());
 
  @Autowired
  private ObjectMapper objectMapper;
 
  @Override
  public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response,
                    AuthenticationException exception) throws IOException, ServletException {
 
    logger.info("登录失败");
 
    response.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());
    response.setContentType("application/json;charset=UTF-8");
    response.getWriter().write(objectMapper.writeValueAsString(new BaseResponse(exception.getMessage())));
  }
}

这个方法中的第三个参数AuthenticationException，包括了登录失败的信息。
同样的，还是需要在配置文件中进行配置，这里就不贴出全部的代码了，只贴出相应的语句

.successHandler(myAuthenticationSuccessHandler) // 自定义登录成功处理 
.failureHandler(myAuthenticationFailureHandler) // 自定义登录失败处理

OVER IS OVER!

Spring Boot(六):集成Spring Security

前言：

一、maven中添加依赖

二、对SpringSecurity进行相应的配置

三、配置用户认证逻辑

四、个性化用户认证逻辑

番外

推荐阅读更多精彩内容