Reactor 响应式编程（第四篇：Spring Security Reactive）

系列文章目录

Reactor 响应式编程（第一篇：Reactor核心）
Reactor 响应式编程（第二篇：Spring Webflux）
Reactor 响应式编程（第三篇：R2DBC）
Reactor 响应式编程（第四篇：Spring Security Reactive）

---

---

1. 整合

目标：
SpringBoot + Webflux + Spring Data R2DBC + Spring Security

任务：

• RBAC权限模型
• WebFlux配置：@EnableWebFluxSecurity、@EnableReactiveMethodSecurity
• SecurityFilterChain 组件
• AuthenticationManager 组件
• UserDetailsService 组件
• 基于注解的方法级别授权

    <dependencies>
        <!-- https://mvnrepository.com/artifact/io.asyncer/r2dbc-mysql -->
        <dependency>
            <groupId>io.asyncer</groupId>
            <artifactId>r2dbc-mysql</artifactId>
            <version>1.0.5</version>
        </dependency>
        <!--        响应式 Spring Data R2dbc-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-data-r2dbc</artifactId>
        </dependency>

        <!--        响应式Web  -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-webflux</artifactId>
        </dependency>


        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
        </dependency>
    </dependencies>

2. 开发

2.1 应用安全

• 防止攻击：
  • DDos、CSRF、XSS、SQL注入…
• 控制权限
  • 登录的用户能干什么。
  • 用户登录系统以后要控制住用户的所有行为，防止越权；
• 传输加密
  • https
  • X509
• 认证：
  • OAuth2.0
  • JWT

2.2 RBAC权限模型

Role Based Access Controll： 基于角色的访问控制

一个网站有很多用户： zhangsan
每个用户可以有很多角色：
一个角色可以关联很多权限：
一个人到底能干什么？

权限控制：

• 找到这个人，看他有哪些角色，每个角色能拥有哪些权限。 这个人就拥有一堆的 角色 或者 权限
• 这个人执行方法的时候，我们给方法规定好权限，由权限框架负责判断，这个人是否有指定的权限

所有权限框架：

• 让用户登录进来： 认证（authenticate）：用账号密码、各种其他方式，先让用户进来
• 查询用户拥有的所有角色和权限： 授权（authorize）： 每个方法执行的时候，匹配角色或者权限来判定用户是否可以执行这个方法

导入Spring Security：默认效果

3. 认证

3.1 静态资源放行

3.2 其他请求需要登录

package com.atguigu.security.config;

import com.atguigu.security.component.AppReactiveUserDetailsService;
import org.springframework.beans.factory.annotation.Autowired;
import