Spring Security 实战-优快云博客

1，导入依赖

导入Spring依赖

  <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
   </dependency>

2，实现部分

2.1 自动给我们请求返回一个登录页面，（基于过滤器实现的）

直接写一个的登录的流程

dao-xml文件-service-controller

完成以上操作后访问：http://localhost:8080/hello 结果打开的是一个登录页面，其实这时候我们的请求已经被保护起来了，要想访问，需要先登录

2.2: 认证

从数据库获取用户信息，器替换默认的账号

1，继承 WebSecurityConfigurerAdapter 重写 configure（AuthenticationManagerBuilder auth），然后自定义一个service 类，必须继承一个类 UserDetailsService 达到自定义一用户名和密码功能

2，重写 configure（HttpSecurity http）方法，达到自定义登录页面功能

第一种：不是前后端分离的项目：需要指定登录页面地址，和配置表单action 地址。

第二种：是前后端分离的项目，就不许指定登录页面地址，和配置表单action 地址。

（注意：一定是post请求）,从前端进入

2.3：授权

1,通过调用该 http.authorizeRequests() 就可以达到访问控制了

.anyRequest().authenticated(); 所有的请求都拦截

2，通过antMatchers() 给url 配置访问权限

权限控制方法主要是4个：

* hasRole()
* hasAnyRole()
* hasAuthority()
* hasAnyAuthority()

3,通过注解式配置权限访问控制

3.1：添加 @EnableGlobalMethodSecurity 注解（注意三套注解方式，默认都是关闭状态，使用哪一类就打开）

例如使用 securedEnabled 配置注解方式 @EnableGlobalMethodSecurity(securedEnabled = true)

3.2: 以后开发主要用的注解方式 @PreAuthorize()

3.3:在service中同时给认证授权的赋予权限或者角色

上面的是调用的账号和密码

下面括号中的是赋予角色或者权限 ,在controller中也如上图对应一样才能实现功能或者页面访问,否则就无权限访问

2.4：配置一些处理器

都是用于前后端分离的项目

1：配置登录成功方发处理器 ,实现 AuthenticationSuccessHandler 接口

package cn.woniu.handler;

import cn.woniu.util.JWTUtil;
import cn.woniu.util.ResponseResult;
import com.alibaba.fastjson.JSON;

import org.apache.catalina.filters.ExpiresFilter;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.data.redis.core.StringRedisTemplate;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.web.authentication.AuthenticationSuccessHandler;
import org.springframework.stereotype.Component;
import sun.text.normalizer.ICUBinary;

import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;

/**
 * 前后端分离的项目情况下,登录成功后,返回的不再是一个页面地址,,还是一个json
 * 处理用户登录成功后返回数据:比如用户等信息
 */
@Component
public class LoginSuccessHandler implements AuthenticationSuccessHandler {



    @Autowired
    private RedisTemplate<String, String> redisTemplate;


    @Override
    public void onAuthenticationSuccess(HttpServletRequest request,
                                        HttpServletResponse response,
                                        Authentication authentication)
            throws IOException, ServletException {

        /**
         * 获取登录成功的用户信息
         */
        User user = (User) authentication.getPrincipal();
        try {
            redisTemplate.opsForValue().set("jwt:"+user.getUsername(),
                    JWTUtil.createJWT(user.getUsername()));
        } catch (Exception e) {
            e.printStackTrace();
        }

        //设置字符串
        response.setContentType("application/json;charset=UTF-8");
        PrintWriter writer = response.getWriter();
        String json = JSON.toJSONString(ResponseResult.SECCUSS);
        writer.print(json);
        writer.flush();
        writer.close();
    }
}

2：配置登录失败方法处理器：实现 AuthenticationFailureHandler 接口

package cn.woniu.handler;

import cn.woniu.util.ResponseResult;
import com.alibaba.fastjson.JSON;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.AuthenticationFailureHandler;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;

/**
 * 登录失败后进入,返回给前端提示信息
 */
public class LoginFildHandler implements AuthenticationFailureHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        //设置字符串
        response.setContentType("application/json;charset=UTF-8");
        PrintWriter writer = response.getWriter();
        String json = JSON.toJSONString(ResponseResult.FAIL);
        writer.print(json);
        writer.flush();
        writer.close();
    }
}

3：配置用户未登录直接访问我们系统资源，实现 AuthenticationEntryPoint 接口

package cn.woniu.handler;

import cn.woniu.util.ResponseResult;
import com.alibaba.fastjson.JSON;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.AuthenticationEntryPoint;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;

/**
 * 前后端分离项目情况下,用户未登录直接访问系统资源会被拦截
 */
public class MyAuthenticationEntryPoint implements AuthenticationEntryPoint {


    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
//设置字符串
        response.setContentType("application/json;charset=UTF-8");
        PrintWriter writer = response.getWriter();
        String json = JSON.toJSONString(ResponseResult.NOLOGIN);
        writer.print(json);
        writer.flush();
        writer.close();
    }
}

4：配置用户没有该资源访问权限情况下，实现 AccessDeniedHandler 接口

package cn.woniu.handler;

import cn.woniu.util.ResponseResult;
import com.alibaba.fastjson.JSON;
import org.springframework.security.access.AccessDeniedException;
import org.springframework.security.web.access.AccessDeniedHandler;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;

/**
 * 虽然你知道用户名和密码
 * 但是,拦截你没有权限访问该资源操作
 *
 */
public class MyAccessDeniedHandler  implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException {
        //设置字符串
        response.setContentType("application/json;charset=UTF-8");
        PrintWriter writer = response.getWriter();
        String json = JSON.toJSONString(ResponseResult.NOAUTH);
        writer.print(json);
        writer.flush();
        writer.close();
    }
}

5：用户退出系统，实现LogoutSuccessHandler 接口

package cn.woniu.handler;

import cn.woniu.util.ResponseResult;
import com.alibaba.fastjson.JSON;
import org.springframework.security.core.Authentication;
import org.springframework.security.web.authentication.logout.LogoutSuccessHandler;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;


public class MyLogoutSuccessHandler implements LogoutSuccessHandler{

    @Override
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        //设置字符串
        response.setContentType("application/json;charset=UTF-8");
        PrintWriter writer = response.getWriter();
        String json = JSON.toJSONString(ResponseResult.LOGOUT);
        writer.print(json);
        writer.flush();
        writer.close();
    }
}

JWT

导入依赖

<dependency>
    <groupId>com.nimbusds</groupId>
    <artifactId>nimbus-jose-jwt</artifactId>
    <version>9.11.1</version>
</dependency>

JWT 就是一个经过加密得到一个字符串，有三个部分组成，分别是：头部（放一些关于jwt本身相关的信息），载荷：（放用户登录成功后的信息，主要：不要放敏感信息），签名：（有头部加上载荷，经过密钥加密得到的一个字符串）

3.1，代码得到JWT

头部代码

 JWSHeader jwsHeader =new JWSHeader.
                Builder(JWSAlgorithm.HS256).
                type(JOSEObjectType.JWT).build();

载荷代码

 //创建载荷
        Map map = new HashMap<>();
        map.put("username",username);
        Payload payload = new Payload(map);

签名代码

 JWSSigner jwsSigner = new MACSigner(KEY);
 JWSObject jwsObject = new JWSObject(jwsHeader,payload);
 jwsObject.sign(jwsSigner);

解密前后传过来的jwt

 JWSObject parse = JWSObject.parse(jwt);
 JWSVerifier jwsVerifier = new MACVerifier(KEY);
 return  parse.verify(jwsVerifier);