SpringSecurity学习 -- 1 springSecurity

深碍√TFBOYSˉ_ 2023-10-12 10:44 127阅读 0赞

**目录**

简介：

token和jwt的区别

1.快速入门

1.自定义用户名和密码。

自定义重定向。

2.设置权限管理

3.从路径中获取用户信息

2.SpringSecurity核心组件

SecurityContext : authentication对象的容器。

SecurityContextHolder :

Authentication:

编辑

UserDetails: 存储用户信息的。

UserDetailsService:

AuthenticationManager

3.配置类开发

权限判断

角色判断

IP判断(我的版本废除了)

access

4.注解开发(了解)

@secured注解(角色判断)

@PreAuthorize + @PostAuthorize注解

@RemeberMe(前后端分离后，我觉得没必要)

Thymleaf(了解)

CSRF(了解):

总结

--------------------

![8dd971af7a1146159aa3c675851c0a09.png][]

## 简介： ##

springSecuicty是spring的一个安全框架，主要负责处理**认证**和**授权**的功能。

**认证：认证当前用户是哪个用户，并具体那个用户。(是否登录)**

**授权：授予某个用户访问权限，并判断他到底是否有访问权限。(有无权限执行:VIP)**

**其他的安全感框架：**apache shiro ,强大且已于上手的安全框架**。**

授权：貌似底层就想着一个过滤器,Filter从用户的请求判断是否携带相应的请求体来做出相应的相应。

## token和jwt的区别 ##

jwt是token的一种复杂实现。

**jwt**: 全称 **json web token** 比较复杂，有头部，载荷、签名组成。载荷中，包括用户信息等，并且服务端用秘钥对Jwt进行签名。发给浏览器端，浏览器端，访问时对jwt进行解密，如果解密成功则就是验证成功。

总结 ： jwt是一种更复杂的身份令牌信息。

## 1.快速入门 ##

我们基于web项目做测试

![da25fac9123f4dae8d330a16eeeca299.png][]

**1.核心依赖**

<dependencies>
    		
    		<dependency>
    			<groupId>org.springframework.boot</groupId>
    			<artifactId>spring-boot-starter-security</artifactId>
    		</dependency>
    		
    		<dependency>
    			<groupId>org.springframework.boot</groupId>
    			<artifactId>spring-boot-starter-web</artifactId>
    		</dependency>
         </dependencies>
    		
    
    	<dependencyManagement>
    		<dependencies>
    			<dependency>
    				<groupId>org.springframework.boot</groupId>
    				<artifactId>spring-boot-dependencies</artifactId>
    				<version>${spring-boot.version}</version>
    				<type>pom</type>
    				<scope>import</scope>
    			</dependency>
    		</dependencies>
    	</dependencyManagement>

**2.我们建一个login.html**

<!DOCTYPE html>
    <html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
    <form action="">
        <input type="text" placeholder="用户名">
        <input type="text" placeholder="密码">
    </form>
    
    </body>
    </html>

**3.启动springboot项目，访问locahost:8080(你没改端口号的话)**

![249763494f244249b49afef4fc1a49e0.png][]

重定向到了这个页面，同时控制台打印一串类似密码的数字。![8c8126437577460bacdb2256e59718bb.png][]

证明security已经成功了。

### 1.自定义用户名和密码。 ###

#### 自定义重定向。 ####

**successForwardUrl(),**只能重定向到静态页面。我们点进去发现，![05cf84be9cd448cd8294217185189ba7.png][]

看得出实际上，我们调用**successHanler()**方法,然后我们url被封装到这里面。

![a3fd99401e644cc09ceb026fd057e981.png][]

卧槽，发现了什么？请求转发，看来我们url就被封装在这里面，被进行请求转发。

那为什么，全url为什么不能跳转，上述**构造器**，有一个断言，看url，符不符合格式，否则，那个跳转对象拿到是url是null。

嗯，看来，我们就是要自定义一个类实现**AuthenticationSuccessHandler接口，借鉴上述并进行重写。**

限制使用。

@Configuration
    @EnableWebSecurity
    public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                    .authorizeRequests()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin().and()
                    .httpBasic();
        }
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.
                    inMemoryAuthentication()
                    .withUser("qhx2004")
                    .password("{noop}123456").roles("USER");
    
        }
    }

### 2.设置权限管理 ###

@Configuration
    @EnableWebSecurity
    // 配置security注解
    public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                    .authorizeRequests()
                    //  设置资源对应的访问角色权限
                    .antMatchers("/user/**").hasRole("USER")
                    .antMatchers("/admin/**").hasRole("ADMIN")
                    .anyRequest()
                    .authenticated()
                    .and()
                    .formLogin().and()
                    .httpBasic();
        }
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.
                    inMemoryAuthentication()
                    // 登录账号匹配权限
                    .withUser("qhx2004").password("{noop}123456").roles("USER").and()
                    .withUser("admin").password("{noop}111").roles("ADMIN", "USER");
            // PassWordEncode
        }
    }

### 3.从路径中获取用户信息 ###

@RequestMapping("/info")
    	@ResponseBody
    	public String productInfo(){
    		String currentUser = "";
    		Object principl = SecurityContextHolder.getContext().getAuthentication().getPrincipal();
    		if(principl instanceof UserDetails) {
    			currentUser = ((UserDetails)principl).getUsername();
    		}else {
    			currentUser = principl.toString();
    		}
    		return " some product info,用户信息 is: "+currentUser;
    	}

### 2.SpringSecurity核心组件 ###

### SecurityContext : authentication对象的容器。 ###

### SecurityContextHolder : ###

### Authentication: ###

它包括这很多，诸如用户信息、证书、用户权限、用户身份之类的。看方法，几乎使我们用来获取的，看样子他是别人调用我们拿到的。

public interface Authentication extends Principal, Serializable {
     
    	Collection<? extends GrantedAuthority> getAuthorities();
    	Object getCredentials();
    	Object getDetails();
    	Object getPrincipal(); // 拿去UserDetail对象的
    	boolean isAuthenticated();
    	void setAuthenticated(boolean isAuthenticated) throws IllegalArgumentException;
    }

### ![6384aad6bdb14bb19150112c070a533f.png][] ###

### UserDetails: 存储用户信息的。 ###

public interface UserDetails extends Serializable {
    
    	Collection<? extends GrantedAuthority> getAuthorities();
    	String getPassword();
    	String getUsername();
    	boolean isAccountNonExpired();
    	boolean isAccountNonLocked();
    	boolean isCredentialsNonExpired();
    	boolean isEnabled();
    }

###  ###

### **UserDetailsService:** ###

![12ec51f8f35f4d6c99c92aaf41f058c7.png][]

public interface UserDetailsService {
        UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
    }

public class UserDetailsServiceImpl implements UserDetailsService {
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
            String password = "1234";
            // 1.我们来自前端的用户名，会调用数据库进行查询，如果成功!
            if ("123".equals(username)) {
                // 失败 ，抛异常
                throw new UsernameNotFoundException("用户并校验错误!");
            }
            // 成功，返回一个User(UserDetails的实现类，我们的用户信息就封装在这个对象里面)对象
            return new User(username, password, AuthorityUtils.createAuthorityList("12"));
        }
    }

### AuthenticationManager ###

public interface AuthenticationManager {
        Authentication authenticate(Authentication authentication) throws AuthenticationException;
    }

用来检验你的Authentication对象是否正确的。

### 3.配置类开发 ###

server:
      servlet:
        context-path: /qhx
    // 给项目 + 路径前缀

访问以下资源放行卧槽，反正，我们yml文件整，给项目加了前缀/qhx,**看出来区别了。****mvc就是专门加了,servletpath**

// 授权认证
            http.authorizeHttpRequests()
                    // 放行路径资源
                    // 一般匹配
                    .antMatchers("/qhx/login.html").permitAll()
                    // mvc匹配
                    .mvcMatchers("/login").servletPath("qhx").permitAll()
                    // 正则匹配
                    .regexMatchers("/qhx/register").permitAll()
                    .anyRequest().authenticated();
            // 所有请求都必须被认证,必须登录之后被访问。

**内置访问方法解析,**

![601ad7a386bf45558300b52a3b07c4b9.png][]

###  ###

#### 权限判断 ####

1.测试

return new User(username, password, AuthorityUtils.
                           // 登陆之后，我给他admin权限
                            commaSeparatedStringToAuthorityList("admin,ROLE_ADMIN"));
        }

2. 资源限定权限访问

.antMatchers("/vip").hasAuthority("admin")
                    // 放行：admin.admiN访问
                    .antMatchers("/vip").hasAnyAuthority("admin", "admiN")
                    .anyRequest().authenticated();

#### 角色判断 ####

看出来，规定资源能被什么角色访问，登录之后把相应的角色给你，在这里面，也就是说管理员同时具有管理员和**普通用户**访问资源的权限。

1.测试

return new User(username, password, AuthorityUtils.
                    // 这个用户能访问普通用户和管理员角色访问的资源
                            commaSeparatedStringToAuthorityList("qhx,wls,ROLE_ADMIN,ROLE_USER"));
        }

2.资源限定角色访问

// 角色管控:限定下面这俩资源，一个管理员访问，另一个普通用户访问
                    .antMatchers("/admin").hasRole("ADMIN")
                    .antMatchers("/user").hasAnyRole("ADMIN", "USER")
                    .anyRequest().authenticated();

#### IP判断(我的版本废除了) ####

#### access ####

我们打开源码，发现实际上是调用同对象的access方法，同理我们也可直接用access调用。

![4319198a1e4c4491bbacbef29670f68a.png][]

access还支持自定方法。

public class MyServiceImpl implements MyService {
        @Override
        public boolean hasProm(HttpServletRequest request, Authentication authentication) {
            Object principal = authentication.getPrincipal(); // 拿到user对象
            if (principal instanceof UserDetails) {
                UserDetails userDetails = (UserDetails) principal; // 强转
                Collection<? extends GrantedAuthority> authorities = userDetails.getAuthorities();
                return authorities.contains(new SimpleGrantedAuthority(request.getRequestURI()));
    
            }
    
            return false;
        }
    }

### 4.注解开发(了解) ###

其实看出来为了迎合发展方向，为了迎合我们的配置，就是静态资源和动态一起过滤，但是呢？随着，前后端分离，但是注解开发也是趋势。

#### @secured注解(角色判断) ####

1.启动类加上 EnableGlobalMethodSecurity

@SpringBootApplication
    @EnableGlobalMethodSecurity(securedEnabled = true) // 开启注解启动角色权限(本质上，我们限制的路径资源访问权限)
    public class Sspring1securityApplication {
    
        public static void main(String[] args) {
            SpringApplication.run(Sspring1securityApplication.class, args);
        }
    
    }

2.动态资源加上

@RestController
    public class LoginContreoller {
    
        @Secured("ROLE_admin") // 管理员权限能访问
        @GetMapping("/login11")
        public String login() {
            System.out.println("执行登录..");
            return "redirect:main.html";
        }
    
    }

错误：会报500异常，AccessDeniedException(访问被拒绝错误)

#### @PreAuthorize + @PostAuthorize注解 ####

一个在类和方法执行之前权限判断，一个之后判断。

好家伙之前，我们的**权限判断**和**角色控制**他都能用，只要输入相应的权限表达式即可。

//@Secured("ROLE_admin") // 管理员权限能访问
        @PreAuthorize("hasRole('admin')") // 拥有管理员角色权限才能访问

#### @RemeberMe(前后端分离后，我觉得没必要) ####

现在，我们完全不需要记住我，这个关键字，因为默认网站差不多就是一个星期之后需要登录一次，那为什么登陆之后，他怎么判断我们是同一个请求，并且怎么记住一星期呢?

1.通过token来判断的话，我们登录之后，设置一个token被浏览器携带，并在浏览器端计算机硬盘储存一个月。

2.当我们下次登录时，会将token发到服务器端API，如果查询成功，则自动登录。

#### Thymleaf(了解) ####

:模版引擎，能将模版和数据分离，但是又能就和在一起形成特定格式(模版)的产物。

#### CSRF(了解): ####

**跨域**：*网络协议 、IP地址 、端口* 中任意一个不相同，就是跨域请求。

*  http本身无状态。通过cookie来记录客服端身份。在cookie中，会存放session id来识别客户端身份。
 *  在跨域的情况下,session id 可能被第三方恶意劫持,通过这个session id向服务器端发起请求。(也就是伪造了用户身份。)
 *  底层来讲，不就是通过session，cookie来判别用户，访问不同的动态资源。

那么CSRF技术，是通过访问时，同时携带\_csrf.token 会与在服务端中的token进行比较，如果成功则允许访问。

### 总结 ###

SecurityConfig.java

@Configuration
    @EnableWebSecurity // 启用security配置
    // 自定义配置
    public class SecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.
                    userDetailsService(userDetailsService())
                    .passwordEncoder(passwordEncoder());
        }
    
        @Override
        // 解决静态资源拦截问题(了解)
        public void configure(WebSecurity web) throws Exception {
            web.ignoring().antMatchers("/asserts/**");
            web.ignoring().antMatchers("/favicon.ico");
        }
    
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            // 1.配置登录页并允许访问(没用了),下面2个参数对应表单,最后一个跳转页面。
            http.formLogin().usernameParameter("username").passwordParameter("password").loginPage("/login");
            //2.配置登出页面
            http.logout().logoutUrl("/logout").logoutSuccessUrl("/");
            //3.给API设置权限
            http.authorizeRequests() // 拥有很多权限
                    .antMatchers("/user/**").hasRole("USER")
                    .antMatchers("/admin/**").hasAnyRole("USER", "ADMIN")
                    // 任何请求都需要经过认证
                    .anyRequest().authenticated();
            // 4.关闭跨域保护
            http.csrf().disable();
    
        }
    
        // 密码加密
        @Bean
        public PasswordEncoder passwordEncoder() {
            return new BCryptPasswordEncoder();
        }
    
    }

MyUserDetailsServiceImpl.java

@Configuration
    public class MyUserDetailService implements UserDetailsService {
    
        @Autowired
        private UserMapper userMapper;
    
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
            // 查询就不可能返回boolean值
            User user = userMapper.findByUserName(username); // 1.查询数据库
            // 2.判断有无用户
            if (user == null) {
                System.out.println(username + "用户没有注册");
                throw new UsernameNotFoundException(username + "用户没有注册");
            }
            return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), getAuthority());
        }
    
        // 获取权限列表
        public List getAuthority() {
    
            //return Arrays.asList(new SimpleGrantedAuthority("ROLE_ADMIN"));
            return AuthorityUtils.createAuthorityList("ROLE_ADMIN");
        }
    
    }

###  ###

[8dd971af7a1146159aa3c675851c0a09.png]: https://img-blog.csdnimg.cn/8dd971af7a1146159aa3c675851c0a09.png
[da25fac9123f4dae8d330a16eeeca299.png]: https://img-blog.csdnimg.cn/da25fac9123f4dae8d330a16eeeca299.png
[249763494f244249b49afef4fc1a49e0.png]: https://img-blog.csdnimg.cn/249763494f244249b49afef4fc1a49e0.png
[8c8126437577460bacdb2256e59718bb.png]: https://img-blog.csdnimg.cn/8c8126437577460bacdb2256e59718bb.png
[05cf84be9cd448cd8294217185189ba7.png]: https://img-blog.csdnimg.cn/05cf84be9cd448cd8294217185189ba7.png
[a3fd99401e644cc09ceb026fd057e981.png]: https://img-blog.csdnimg.cn/a3fd99401e644cc09ceb026fd057e981.png
[6384aad6bdb14bb19150112c070a533f.png]: https://img-blog.csdnimg.cn/6384aad6bdb14bb19150112c070a533f.png
[12ec51f8f35f4d6c99c92aaf41f058c7.png]: https://img-blog.csdnimg.cn/12ec51f8f35f4d6c99c92aaf41f058c7.png
[601ad7a386bf45558300b52a3b07c4b9.png]: https://img-blog.csdnimg.cn/601ad7a386bf45558300b52a3b07c4b9.png
[4319198a1e4c4491bbacbef29670f68a.png]: https://img-blog.csdnimg.cn/4319198a1e4c4491bbacbef29670f68a.png