若依框架-RBAC权限控制_SpringSecurity配置

最新推荐文章于 2025-06-11 18:53:59 发布

Gratitute_林腾

最新推荐文章于 2025-06-11 18:53:59 发布

阅读量1.3k

点赞数 7

CC 4.0 BY-SA版权

分类专栏：若依框架文章标签： java spring maven

本文链接：https://blog.youkuaiyun.com/m0_74462339/article/details/144204980

若依框架专栏收录该内容

41 篇文章

订阅专栏

SpringSecurity配置

源码分析

注解

authenticationManager方法

filterChain方法

bCryptPasswordEncoder方法

SpringSecurity配置

源码分析

注解

在当前配置类上有一个注解：

这个注解的作用是开启方法级别的权限控制。开启后，Controller控制器当中，每个方法中的@PreAuthorize注解就都可以生效了，例如：

authenticationManager方法

该方法的作用是将安全认证管理器交给了IOC容器（因为有个@Bean注解），这样一来，项目启动后，就可以直接通过IOC容器来获取AuthenticationManager，实现用户的登录认证。

filterChain方法

这个方法是一个典型的Spring Security配置方法，主要作用是设置Spring Security的过滤链（SecurityFilterChain），并定义了如何处理不同类型的请求和安全配置。下面是详细分析：

禁用CSRF保护

.csrf(csrf -> csrf.disable())

作用：禁用CSRF（跨站请求伪造）防护。由于系统使用的是基于Token的认证方式，而不是基于Session的认证方式，通常CSRF防护不适用。
原因：如果应用是RESTful风格且使用JWT Token进行认证，则CSRF防护可以禁用。

禁用HTTP响应头部配置

.headers((headersCustomizer) -> {
    headersCustomizer.cacheControl(cache -> cache.disable()).frameOptions(options -> options.sameOrigin());
})

作用：禁用缓存控制和配置X-Frame-Options为SAMEORIGIN。

cacheControl.disable()：禁用缓存，这意味着浏览器在每次请求时都会重新请求资源。
frameOptions.sameOrigin()：设置允许页面仅被同源的网页嵌套。这个设置防止了点击劫持攻击。

处理认证失败

.exceptionHandling(exception -> exception.authenticationEntryPoint(unauthorizedHandler))

作用：配置认证失败时的处理逻辑。unauthorizedHandler会被触发，当用户没有权限或者未登录时，Spring Security会调用它来返回一个自定义的响应。

无状态会话管理

.sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))

作用：配置会话管理为无状态（STATELESS）。这表示应用程序不会在服务器上存储任何与会话相关的状态（例如，HTTP Session），每次请求都必须提供有效的Token进行认证。

配置URL权限控制

.authorizeHttpRequests((requests) -> {
    permitAllUrl.getUrls().forEach(url -> requests.antMatchers(url).permitAll());
    requests.antMatchers("/login", "/register", "/captchaImage").permitAll()
        .antMatchers(HttpMethod.GET, "/", "/*.html", "/**/*.html", "/**/*.css", "/**/*.js", "/profile/**").permitAll()
        .antMatchers("/swagger-ui.html", "/swagger-resources/**", "/webjars/**", "/*/api-docs", "/druid/**").permitAll()
        .anyRequest().authenticated();
})

作用：配置不同URL的访问权限。

permitAllUrl.getUrls().forEach(url -> requests.antMatchers(url).permitAll())：允许permitAllUrl集合中指定的所有URL无需认证即可访问。
requests.antMatchers("/login", "/register", "/captchaImage").permitAll()：允许登录、注册和验证码接口无需认证即可访问。
requests.antMatchers(HttpMethod.GET, "/", "/*.html", "/**/*.html", "/**/*.css", "/**/*.js", "/profile/**").permitAll()：允许静态资源文件（如HTML、CSS、JS、图片等）无需认证即可访问。
requests.antMatchers("/swagger-ui.html", "/swagger-resources/**", "/webjars/**", "/*/api-docs", "/druid/**").permitAll()：允许Swagger UI和Druid监控界面无需认证即可访问。
.anyRequest().authenticated()：对于其他所有请求，都需要认证（需要Token）。

配置注销功能

.logout(logout -> logout.logoutUrl("/logout").logoutSuccessHandler(logoutSuccessHandler))

作用：配置用户注销的URL和成功注销后的处理逻辑。

logoutUrl("/logout")：设置注销请求的URL为/logout。
logoutSuccessHandler(logoutSuccessHandler)：注销成功后的处理器。通常是在注销成功后，重定向到登录页或返回一个特定的响应。

配置JWT认证过滤器

.addFilterBefore(authenticationTokenFilter, UsernamePasswordAuthenticationFilter.class)

作用：添加一个JWT认证过滤器（authenticationTokenFilter），该过滤器将在UsernamePasswordAuthenticationFilter之前执行。它用于检查每个请求的Authorization头部，验证JWT Token的有效性，并设置用户的认证信息。

配置CORS过滤器

.addFilterBefore(corsFilter, JwtAuthenticationTokenFilter.class)
.addFilterBefore(corsFilter, LogoutFilter.class)

作用：添加CORS（跨域资源共享）过滤器，确保前端应用可以跨域访问后端接口。corsFilter会在JWT认证过滤器和登出过滤器之前执行，以确保跨域请求能够被接受。

总结

这个SecurityFilterChain配置方法主要是为了实现一个基于Token的无状态认证系统，禁用了Session管理，并通过JWT Token验证用户身份。同时，配置了多种访问控制，允许特定URL不需要认证，同时保护其他所有请求必须通过认证。还包括了CORS支持、注销处理和自定义的认证失败处理等。

这段配置提供了一个灵活且强大的安全控制框架，适用于现代Web应用，尤其是使用Token认证的RESTful API。

bCryptPasswordEncoder方法

这个方法是Spring Security中的一个常见配置，用于创建一个BCryptPasswordEncoder实例。下面是详细的分析：

方法签名

@Bean
public BCryptPasswordEncoder bCryptPasswordEncoder()

@Bean注解：Spring的@Bean注解表示该方法会返回一个Spring容器管理的bean。在Spring容器中，这个bean可以被其他组件注入使用。
BCryptPasswordEncoder：BCryptPasswordEncoder是Spring Security提供的一个密码加密器，它使用BCrypt算法来加密和校验密码。

BCryptPasswordEncoder类

BCryptPasswordEncoder是基于BCrypt算法实现的密码加密和验证工具。BCrypt是一种加密算法，设计时注重安全性，具有以下特点：

盐值（Salt）：BCrypt会为每个密码生成一个独特的盐值，这使得即使两个用户设置了相同的密码，它们的存储值也会不同，增加了密码的安全性。
迭代次数：BCrypt算法通过不断迭代加密过程，使破解密码的难度更高，尤其对于暴力破解和字典攻击有很强的防御能力。
不可逆性：BCrypt是单向加密算法，意味着一旦密码被加密，就无法反向推算出原始密码。

方法功能

return new BCryptPasswordEncoder();

这个方法返回一个新的BCryptPasswordEncoder实例，用于对密码进行加密或验证。具体来说，它在以下两个方面非常有用：

加密密码：当用户在注册或修改密码时，系统会使用BCryptPasswordEncoder对明文密码进行加密存储。
验证密码：当用户登录时，系统会将输入的明文密码与数据库中存储的加密密码进行比对，以验证用户的身份。

加密和验证密码

BCryptPasswordEncoder提供了两个常用的方法：

encode(String rawPassword)：将明文密码加密成BCrypt格式的密码。
matches(CharSequence rawPassword, String encodedPassword)：验证明文密码与加密后的密码是否匹配。

例如：

BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
String encodedPassword = encoder.encode("userPassword"); // 加密密码
boolean matches = encoder.matches("userPassword", encodedPassword); // 验证密码是否匹配

为什么使用BCrypt加密

BCrypt算法广泛被认为是密码存储的最佳选择之一，原因包括：

安全性高：通过引入盐值和多次迭代，BCrypt显著提高了密码的破解难度。
抗暴力破解：BCrypt通过增加算法的迭代次数来提高计算复杂度，因此即使攻击者使用现代硬件进行暴力破解，BCrypt也能有效防止密码被快速破解。
广泛应用：BCrypt算法在多个安全框架中都有应用，例如Spring Security，确保了它的稳定性和可靠性。

总结

这个方法的作用是创建并返回一个BCryptPasswordEncoder实例，Spring Security框架会使用它来对用户密码进行加密存储以及验证用户登录时的密码。使用BCrypt加密方式，不仅能提高系统的安全性，还能防止密码泄露和被暴力破解。因此，这个配置是构建安全的用户认证体系的重要组成部分。

在若依框架的权限控制中，使用BCryptPasswordEncoder能确保用户密码的安全存储和验证，从而有效防止密码被泄露或破解。