說明 springboot 版本 2.0.3
源碼地址：點(diǎn)擊跳轉(zhuǎn)

系列

• springboot+security 整合（1）
• springboot+security 整合（2）
• springboot+security 整合（3）

一、 介紹

??Spring Security 是一個(gè)能夠?yàn)榛?Spring 的企業(yè)應(yīng)用系統(tǒng)提供聲明式的安全訪問控制解決方案的安全框架。它提供了一組可以在 Spring 應(yīng)用上下文中配置的 Bean，充分利用了 Spring IoC，DI（控制反轉(zhuǎn) Inversion of Control ,DI:Dependency Injection 依賴注入）和 AOP（面向切面編程）功能，為應(yīng)用系統(tǒng)提供聲明式的安全訪問控制功能，減少了為企業(yè)系統(tǒng)安全控制編寫大量重復(fù)代碼的工作。

二、 環(huán)境搭建

??建立 springboot2 項(xiàng)目,加入 security 依賴,mybatis 依賴

<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId> </dependency> <dependency><groupId>org.mybatis.spring.boot</groupId><artifactId>mybatis-spring-boot-starter</artifactId><version>1.3.2</version> </dependency> <dependency><groupId>mysql</groupId><artifactId>mysql-connector-java</artifactId><scope>runtime</scope> </dependency>

數(shù)據(jù)庫為傳統(tǒng)的用戶--角色--權(quán)限，權(quán)限表記錄了 url 和 method，springboot 配置文件如下：

mybatis:type-aliases-package: com.example.demo.entity server:port: 8081 spring:datasource:driver-class-name: com.mysql.jdbc.Driverurl: jdbc:mysql://localhost:3306/test?useUnicode=true&characterEncoding=utf-8&useSSL=trueusername: rootpassword: 123456http:encoding:charset: utf-8enabled: true

springboot 啟動(dòng)類中加入如下代碼,設(shè)置路由匹配規(guī)則。

@Override protected void configurePathMatch(PathMatchConfigurer configurer) {configurer.setUseSuffixPatternMatch(false) //設(shè)置路由是否后綴匹配，譬如/user能夠匹配/user.,/user.aa.setUseTrailingSlashMatch(false); //設(shè)置是否后綴路徑匹配，比如/user能夠匹配/user,/user/ }

三、 security 配置

??默認(rèn)情況下 security 是無需任何自定義配置就可使用的，我們不考慮這種方式，直接講如何個(gè)性化登錄過程。

1、 建立 security 配置文件,目前配置文件中還沒有任何配置。

@Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { }

2、 個(gè)性化登錄，security 中的登錄如下：

• security 需要一個(gè) user 的實(shí)體類實(shí)現(xiàn)UserDetails接口,該實(shí)體類最后與系統(tǒng)中用戶的實(shí)體類分開，代碼如下：

public class SecurityUser implements UserDetails{private static final long serialVersionUID = 1L;private String password;private String name;List<GrantedAuthority> authorities;public SecurityUser(string name,string password) {this.id = id;this.password = password;this.name = name;this.age = age;}public void setAuthorities(List<GrantedAuthority> authorities) {this.authorities = authorities;}@Overridepublic Collection<GrantedAuthority> getAuthorities() {return this.authorities;}@Override //獲取校驗(yàn)用戶名public String getUsername() {return String.valueOf(this.id);}@Override //獲取校驗(yàn)用密碼public String getPassword() {return password;}@Override //賬戶是否未過期public boolean isAccountNonExpired() {// TODO Auto-generated method stubreturn true;}@Override //賬戶是否未鎖定public boolean isAccountNonLocked() {// TODO Auto-generated method stubreturn true;}@Override //帳戶密碼是否未過期，一般有的密碼要求性高的系統(tǒng)會(huì)使用到，比較每隔一段時(shí)間就要求用戶重置密碼public boolean isCredentialsNonExpired() {// TODO Auto-generated method stubreturn true;}@Override //賬戶是否可用public boolean isEnabled() {// TODO Auto-generated method stubreturn true;} }

• 編寫了實(shí)體類還需要編寫一個(gè)服務(wù)類 SecurityService 實(shí)現(xiàn)UserDetailsService接口，重寫 loadByUsername 方法，通過這個(gè)方法根據(jù)用戶名獲取用戶信息，代碼如下：

@Component public class SecurityUserService implements UserDetailsService {@Autowiredprivate JurisdictionMapper jurisdictionMapper;@Autowiredprivate UserMapper userMapper;private Logger log = LoggerFactory.getLogger(this.getClass());@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {log.info("登錄用戶id為：{}",username);int id = Integer.valueOf(username);User user = userMapper.getById(id);if(user==null) {//拋出錯(cuò)誤，用戶不存在throw new UsernameNotFoundException("用戶名 "+username+"不存在");}//獲取用戶權(quán)限List<GrantedAuthority> authorities = new ArrayList<>();List<Jurisdiction> jurisdictions = jurisdictionMapper.selectByUserId(id);for(Jurisdiction item : jurisdictions) {GrantedAuthority authority = new MyGrantedAuthority(item.getMethod(),item.getUrl());authorities.add(authority);}SecurityUser securityUser = new SecurityUser(user.getName(),user.getPassword(),authority):user.setAuthorities(authorities);return securityUser;} }

• 通常我們會(huì)對密碼進(jìn)行加密，所有還要編寫一個(gè) passwordencode 類，實(shí)現(xiàn) PasswordEncoder 接口，代碼如下：

@Component public class MyPasswordEncoder implements PasswordEncoder {private Logger log = LoggerFactory.getLogger(this.getClass());@Override //不清楚除了在下面方法用到還有什么用處public String encode(CharSequence rawPassword) {return StringUtil.StringToMD5(rawPassword.toString());}//判斷密碼是否匹配@Overridepublic boolean matches(CharSequence rawPassword, String encodedPassword) {return encodedPassword.equals(this.encode(rawPassword));} }

3、 編輯配置文件

• 編寫 config Bean 以使用上面定義的驗(yàn)證邏輯,securityUserService、myPasswordEncoder 通過@Autowired 引入。

@Override protected void configure(AuthenticationManagerBuilder auth) throws Exception {auth.userDetailsService(securityUserService).passwordEncoder(myPasswordEncoder); }

• 然后編寫 configure Bean（和上一個(gè)不一樣，參數(shù)不同），實(shí)現(xiàn) security 驗(yàn)證邏輯,代碼如下：

@Overrideprotected void configure(HttpSecurity http) throws Exception {http.csrf() //跨站.disable() //關(guān)閉跨站檢測.authorizeRequests()//驗(yàn)證策略策略鏈.antMatchers("/public/**").permitAll()//無需驗(yàn)證路徑.antMatchers("/login").permitAll()//放行登錄.antMatchers(HttpMethod.GET, "/user").hasAuthority("getAllUser")//擁有權(quán)限才可訪問.antMatchers(HttpMethod.GET, "/user").hasAnyAuthority("1","2")//擁有任一權(quán)限即可訪問//角色類似，hasRole(),hasAnyRole().anyRequest().authenticated().and().formLogin().loginPage("/public/unlogin") //未登錄跳轉(zhuǎn)頁面,設(shè)置了authenticationentrypoint后無需設(shè)置未登錄跳轉(zhuǎn)頁面.loginProcessingUrl("/public/login")//處理登錄post請求接口，無需自己實(shí)現(xiàn).successForwardUrl("/success")//登錄成功轉(zhuǎn)發(fā)接口.failureForwardUrl("/failed")//登錄失敗轉(zhuǎn)發(fā)接口.usernameParameter("id") //修改用戶名的表單name，默認(rèn)為username.passwordParameter("password")//修改密碼的表單name，默認(rèn)為password.and().logout()//自定義登出.logoutUrl("/public/logout") //自定義登出api，無需自己實(shí)現(xiàn).logoutSuccessUrl("public/logoutSuccess")}

到這里便可實(shí)現(xiàn) security 與 springboot 的基本整合。

四、實(shí)現(xiàn)記住我功能

1、 建表

??記住我功能需要數(shù)據(jù)庫配合實(shí)現(xiàn)，首先要在數(shù)據(jù)庫建一張表用戶保存 cookie 和用戶名，數(shù)據(jù)庫建表語句如下：不能做修改

CREATE TABLE `persistent_logins` (`username` varchar(64) NOT NULL,`series` varchar(64) NOT NULL,`token` varchar(64) NOT NULL,`last_used` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,PRIMARY KEY (`series`) )

2、 編寫 rememberMeservice Bean

??代碼如下：

@Beanpublic RememberMeServices rememberMeServices(){JdbcTokenRepositoryImpl jdbcTokenRepository = new JdbcTokenRepositoryImpl();jdbcTokenRepository.setDataSource(dataSource);PersistentTokenBasedRememberMeServices rememberMeServices =new PersistentTokenBasedRememberMeServices("INTERNAL_SECRET_KEY",securityUserService,jdbcTokenRepository);//還可設(shè)置許多其他屬性rememberMeServices.setCookieName("kkkkk"); //客戶端cookie名return rememberMeServices;}

dataSource 為@Autowired 引入

3、 配置文件設(shè)置 remember

??在 config(HttpSecurity http)中加入記住我功能

.rememberMe().rememberMeServices(rememberMeServices()).key("INTERNAL_SECRET_KEY")

在登錄表單中設(shè)置 remember-me 即可實(shí)現(xiàn)記住我功能。

本文原創(chuàng)發(fā)布于：https://www.tapme.top/blog/detail/2018-08-20-10-38

轉(zhuǎn)載于:https://www.cnblogs.com/wuyoucao/p/10863419.html

總結(jié)

以上是生活随笔為你收集整理的springboot+security整合（1）的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。