【Spring Boot系列学习】17.权限管理框架

最新推荐文章于 2025-06-13 14:35:23 发布

米殇粟

最新推荐文章于 2025-06-13 14:35:23 发布

阅读量597

点赞数 1

CC 4.0 BY-SA版权

分类专栏： SpringBoot

本文链接：https://blog.youkuaiyun.com/jianmingxie/article/details/88392294

本文深入探讨SpringSecurity的认证流程、环境搭建及个性化配置，对比Shiro框架，解析权限管理、会话控制与安全性增强策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、

二、Spring Security

Spring Security的认证流程可参考https://blog.youkuaiyun.com/u013435893/article/details/79605239

1.基本环境搭建

1.1导入依赖

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

1.2.建立一个web层请求接口(非必须)

@RestController
@RequestMapping("/user")
public class UserController {
    @GetMapping
    public String getUsers() {       
        return "Hello Spring Security";
    }
}

1.3运行并访问请求接口

我们知道，在未添加Spring Security前，在浏览器访问http://localhost:8080/user或http://localhost:8080，会在页面中显示Hello Spring Security；添加该权限框架的依赖后，此时再次访问，无法正常访问，弹出了身份验证(登录)页面，

其原因是在Springboot中，Spring Security默认是生效的，当添加了该依赖后，所有的接口(访问路径)都是受保护的，需要验证才能正常访问，Spring Security提供了一个默认的用户，用户名是user，而密码则是启动项目的时候自动生成的。也可通过配置文件修改默认的用户名和密码。查看项目启动的日志，会发现如下的一段Log

直接用user和启动日志中的密码登录即可正常调用接口了。

其中的登录界面是Spring Security框架提供的默认页面，被称为HttpBasicLogin。

2.自定义用户认证逻辑

在实际生产中，不会使用默认的认证逻辑和登录页面，需根据实际项目来定义其逻辑和页面。

2.1.配置用户认证逻辑

Spring Security默认的认证逻辑是UserDetailsService，在实际生产项目中，我们需要有自己的认证逻辑，则可实现该接口。

@Service("userDetailsService")
public class CustomUserDetailService implements UserDetailsService {
        @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 从数据库中取出用户信息
        // 判断用户是否存在
        // 封装用户信息，并返回。参数分别是：用户名，密码，用户权限
        return new User("zhangsan", new BCryptPasswordEncoder(4).encode("123456"), AuthorityUtils.commaSeparatedStringToAuthorityList("admin"));
    }
}

2.1.1UserDetails

在上面认证逻辑中返回的对象就是UserDetails，该类封装了用户信息的对象，里面包含了七个方法，在返回该对象的时候，也可通过调用其实现类的构造方法设置值。

public interface UserDetails extends Serializable {
    // 封装了权限信息
    Collection<? extends GrantedAuthority> getAuthorities();
    // 密码信息
    String getPassword();
    // 登录用户名
    String getUsername();
    // 帐户是否过期
    boolean isAccountNonExpired();
    // 帐户是否被冻结
    boolean isAccountNonLocked();
    // 帐户密码是否过期，一般有的密码要求性高的系统会使用到，比较每隔一段时间就要求用户重置密码
    boolean isCredentialsNonExpired();
    // 帐号是否可用
    boolean isEnabled();
}

2.1.2密码加密解密

SpringSecurity中有一个PasswordEncoder接口，在实际生产中，我们只需实现该接口，并配置到容器中即可。默认为我们提供了一个实现类BCryptPasswordEncoder，我们只需将其注入到容器中。

2.2.Spring Security相关配置

创建配置类

@Configuration    //指明该类是一个配置类
@EnableWebSecurity  //开启 Security 服务
@EnableGlobalMethodSecurity(prePostEnabled = true) //开启全局 Securtiy 注解,开启方法权限控制
@Slf4j
// 核心配置，配置SpringSecurity访问策略，包括登录处理，登出处理，资源访问，密码基本加密。
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {