Spring Security实现用户名密码验证的原理

最新推荐文章于 2025-05-06 21:00:45 发布
最新推荐文章于 2025-05-06 21:00:45 发布
阅读量7.5k 收藏 6
点赞数 2
分类专栏： 学生 java springboot 文章标签： Spring Security实现用户名密码验证的原理
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_42479155/article/details/99673125
版权

title: Spring Security
date: 2019-08-05 16:40:27
categories:

  • 后端
    tags:
  • 后端
  • 权限管理

Spring Security

  • Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架（简单说是对访问权限进行控制嘛）。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
  • 核心：认证和授权
  • RBAC基于角色的访问控制
  • 安全配置类，集成WebSecurityConfigurerAdapter
package com.waylau.spring.boot.blog.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

/**
 * Spring Security 配置类.
 * 
 * @since 1.0.0 2017年3月8日
 * @author <a href="https://waylau.com">Way Lau</a>
 */
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true) // 启用方法安全设置
public class SecurityConfig extends WebSecurityConfigurerAdapter {
	
	private static final String KEY = "waylau.com";
	
	@Autowired
	private UserDetailsService userDetailsService;

	@Autowired
    private PasswordEncoder passwordEncoder;
	
	@Bean  
    public PasswordEncoder passwordEncoder() {  
        return new BCryptPasswordEncoder();   // 使用 BCrypt 加密
    }  
	
	@Bean  
    public AuthenticationProvider authenticationProvider() {  
		DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();
		authenticationProvider.setUserDetailsService(userDetailsService);
		authenticationProvider.setPasswordEncoder(passwordEncoder); // 设置密码加密方式
        return authenticationProvider;  
    }  
 
	/**
	 * 自定义配置，设置访问路径，并且静止h2控制台的csrf防护
	 */
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.authorizeRequests().antMatchers("/css/**", "/js/**", "/fonts/**", "/index").permitAll() // 都可以访问
				.antMatchers("/h2-console/**").permitAll() // 都可以访问
				.antMatchers("/admins/**").hasRole("ADMIN") // 需要相应的角色才能访问
				.and()
				.formLogin()   //基于 Form 表单登录验证
				.loginPage("/login").failureUrl("/login-error") // 自定义登录界面
				.and().rememberMe().key(KEY) // 启用 remember me
				.and().exceptionHandling().accessDeniedPage("/403");  // 处理异常，拒绝访问就重定向到 403 页面
		http.csrf().ignoringAntMatchers("/h2-console/**"); // 禁用 H2 控制台的 CSRF 防护
		http.headers().frameOptions().sameOrigin(); // 允许来自同一来源的H2 控制台的请求
	}

	/**
	 * 认证信息管理
	 * @param auth
	 * @throws Exception
	 */
	@Autowired
	public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
		auth.userDetailsService(userDetailsService);
		auth.authenticationProvider(authenticationProvider());
	}
}

  • html代码示例

    <!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml"
      xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity4">
<head>
</head>
<body>
	<div sec:authorize="isAuthenticated()">这里就是判断是否认证的样子
		<p>已登录</p>
		<p>登录名：<span sec:authentication="name"></span></p>
		<p>Password：<span sec:authentication="principal.password"></span></p>
		<div sec:authentication="principal.authorities"></div> <!-- works fine -->
		<p>Email ：<span sec:authentication="principal.email"></span></p>
		<p>Name：<span sec:authentication="principal.username"></span></p>
		<p>Status：<span sec:authentication="principal.status"></span></p>
		<p>拥有的角色：
			<span sec:authorize="hasRole('ROLE_ADMIN')">管理员</span>
			<span sec:authorize="hasRole('ROLE_USER')">用户</span>
		</p>
	</div>
	<div sec:authorize="isAnonymous"><p>未登录</p></div>
</body>
</html>

  • 有一个问题需要注意，如果你是ADMIN，在数据库里面必须储存ROLE_ADMIN,其他云云。

  • 同时，在security中，角色和权限共用GrantedAuthorty接口，唯一不同就是角色有个前缀ROLE_,

    package org.springframework.security.core.authority;

import org.springframework.security.core.GrantedAuthority;
import org.springframework.util.Assert;

public final class SimpleGrantedAuthority implements GrantedAuthority {
    private static final long serialVersionUID = 500L;
    private final String role;

    public SimpleGrantedAuthority(String role) {
        Assert.hasText(role, "A granted authority textual representation is required");
        this.role = role;
    }

    public String getAuthority() {
        return this.role;
    }

    public boolean equals(Object obj) {
        if (this == obj) {
            return true;
        } else {
            return obj instanceof SimpleGrantedAuthority ? this.role.equals(((SimpleGrantedAuthority)obj).role) : false;
        }
    }

    public int hashCode() {
        return this.role.hashCode();
    }

    public String toString() {
        return this.role;
    }
}

  • 实例操作，假如用户和权限分开

    package com.waylau.spring.boot.blog.domain;

import javax.persistence.Column;
import javax.persistence.Entity;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;

import org.springframework.security.core.GrantedAuthority;

/**
 * 权限.
 */
@Entity // 实体
public class Authority implements GrantedAuthority {

	private static final long serialVersionUID = 1L;

	@Id // 主键
	@GeneratedValue(strategy = GenerationType.IDENTITY) // 自增长策略
	private Long id; // 用户的唯一标识

	@Column(nullable = false) // 映射为字段，值不能为空
	private String name;

	public Long getId() {
		return id;
	}

	public void setId(Long id) {
		this.id = id;
	}

	/*
	 * (non-Javadoc)
	 * 
	 * @see org.springframework.security.core.GrantedAuthority#getAuthority()
	 */
	@Override
	public String getAuthority() {
		return name;
	}

	public void setName(String name) {
		this.name = name;
	}
}
package com.waylau.spring.boot.blog.domain;

import java.io.Serializable;
import java.util.ArrayList;
import java.util.Collection;
import java.util.List;

import javax.persistence.CascadeType;
import javax.persistence.Column;
import javax.persistence.Entity;
import javax.persistence.FetchType;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;
import javax.persistence.JoinColumn;
import javax.persistence.JoinTable;
import javax.persistence.ManyToMany;
import javax.validation.constraints.Size;

import org.hibernate.validator.constraints.Email;
import org.hibernate.validator.constraints.NotEmpty;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

/**
 * User 实体
 * 
 * @since 1.0.0 2017年3月5日
 * @author <a href="https://waylau.com">Way Lau</a>
 */
@Entity // 实体
public class User implements UserDetails, Serializable {
//springsecurity要求的实现方法
	private static final long serialVersionUID = 1L;
	
	@Id // 主键
	@GeneratedValue(strategy = GenerationType.IDENTITY) // 自增长策略
	private Long id; // 用户的唯一标识

	@NotEmpty(message = "姓名不能为空")
	@Size(min=2, max=20)
	@Column(nullable = false, length = 20) // 映射为字段，值不能为空
	private String name;

	@NotEmpty(message = "邮箱不能为空")
	@Size(max=50)
	@Email(message= "邮箱格式不对" ) 
	@Column(nullable = false, length = 50, unique = true)
	private String email;

	@NotEmpty(message = "账号不能为空")
	@Size(min=3, max=20)
	@Column(nullable = false, length = 20, unique = true)
	private String username; // 用户账号，用户登录时的唯一标识

	@NotEmpty(message = "密码不能为空")
	@Size(max=100)
	@Column(length = 100)
	private String password; // 登录时密码
	
	@Column(length = 200)
	private String avatar; // 头像图片地址
//用户和权限的关系，必须把他们连接在一起
	@ManyToMany(cascade = CascadeType.DETACH, fetch = FetchType.EAGER)
	@JoinTable(name = "user_authority", joinColumns = @JoinColumn(name = "user_id", referencedColumnName = "id"), 
		inverseJoinColumns = @JoinColumn(name = "authority_id", referencedColumnName = "id"))
	private List<Authority> authorities;

	protected User() { // JPA 的规范要求无参构造函数；设为 protected 防止直接使用
	}

	public User(String name, String email,String username,String password) {
		this.name = name;
		this.email = email;
		this.username = username;
		this.password = password;
	}

	public Long getId() {
		return id;
	}

	public void setId(Long id) {
		this.id = id;
	}

	public String getName() {
		return name;
	}

	public void setName(String name) {
		this.name = name;
	}

	public String getEmail() {
		return email;
	}

	public void setEmail(String email) {
		this.email = email;
	}
	//用户权限实现信息
	public Collection<? extends GrantedAuthority> getAuthorities() {
		//  需将 List<Authority> 转成 List<SimpleGrantedAuthority>，否则前端拿不到角色列表名称
		List<SimpleGrantedAuthority> simpleAuthorities = new ArrayList<>();
		for(GrantedAuthority authority : this.authorities){
			simpleAuthorities.add(new SimpleGrantedAuthority(authority.getAuthority()));
		}
		return simpleAuthorities;
	}

	public void setAuthorities(List<Authority> authorities) {
		this.authorities = authorities;
	}

	@Override
	public String getUsername() {
		return username;
	}

	public void setUsername(String username) {
		this.username = username;
	}

	@Override
	public String getPassword() {
		return password;
	}

	public void setPassword(String password) {
		this.password = password;
	}

	public void setEncodePassword(String password) {
		PasswordEncoder  encoder = new BCryptPasswordEncoder();
		String encodePasswd = encoder.encode(password);
		this.password = encodePasswd;
	}
	
	public String getAvatar() {
		return avatar;
	}

	public void setAvatar(String avatar) {
		this.avatar = avatar;
	}
//改成true方法，
	@Override
	public boolean isAccountNonExpired() {
		return true;
	}

	@Override
	public boolean isAccountNonLocked() {
		return true;
	}

	@Override
	public boolean isCredentialsNonExpired() {
		return true;
	}

	@Override
	public boolean isEnabled() {
		return true;
	}

	@Override
	public String toString() {
		return String.format("User[id=%d, username='%s', name='%s', email='%s', password='%s']", id, username, name, email,
				password);
	}
}
请看User实现了UserDetail方法里面有很多方法，有获得用户名和密码的方法，还有权限方法，所以推测UserDetails的实现类就是验证对的方式

  • 详细原理

  • 主要类，用来验证密码的类

    public void configure(AuthenticationManagerBuilder auth) throws Exception {
			if (auth.isConfigured()) {
				return;
			}
			UserDetailsService userDetailsService = getBeanOrNull(
					UserDetailsService.class);
			if (userDetailsService == null) {
				return;
			}

			PasswordEncoder passwordEncoder = getBeanOrNull(PasswordEncoder.class);

			DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
			provider.setUserDetailsService(userDetailsService);
			if (passwordEncoder != null) {
				provider.setPasswordEncoder(passwordEncoder);
			}

			auth.authenticationProvider(provider);
		}

  • config类示例

    package com.waylau.spring.boot.blog.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

/**
 * Spring Security 配置类.
 * 
 * @since 1.0.0 2017年3月8日
 * @author <a href="https://waylau.com">Way Lau</a>
 */
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true) // 启用方法安全设置
public class SecurityConfig extends WebSecurityConfigurerAdapter {
	
	private static final String KEY = "waylau.com";
	
	@Autowired
	private UserDetailsService userDetailsService;

	@Autowired
    private PasswordEncoder passwordEncoder;
	
	@Bean  
    public PasswordEncoder passwordEncoder() {  
        return new BCryptPasswordEncoder();   // 使用 BCrypt 加密
    }  
	
	@Bean  
    public AuthenticationProvider authenticationProvider() {  
		DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();
		authenticationProvider.setUserDetailsService(userDetailsService);
		authenticationProvider.setPasswordEncoder(passwordEncoder); // 设置密码加密方式
        return authenticationProvider;  
    }  
 
	/**
	 * 自定义配置
	 */
	//实际上的登录表单提交按钮，最终提交的是在这个地方
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.authorizeRequests().antMatchers("/css/**", "/js/**", "/fonts/**", "/index").permitAll() // 都可以访问
				.antMatchers("/h2-console/**").permitAll() // 都可以访问
				.antMatchers("/admins/**").hasRole("ADMIN") // 需要相应的角色才能访问
				.and()
				.formLogin()   //基于 Form 表单登录验证
				.loginPage("/login").failureUrl("/login-error") // 自定义登录界面，失败后重定向到这里
				.and().rememberMe().key(KEY) // 启用 remember me
				.and().exceptionHandling().accessDeniedPage("/403");  // 处理异常，拒绝访问就重定向到 403 页面
		http.csrf().ignoringAntMatchers("/h2-console/**"); // 禁用 H2 控制台的 CSRF 防护
		http.headers().frameOptions().sameOrigin(); // 允许来自同一来源的H2 控制台的请求
	}
	
	/**
	 * 认证信息管理
	 * @param auth
	 * @throws Exception
	 */
	@Autowired
	public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
		auth.userDetailsService(userDetailsService);
		auth.authenticationProvider(authenticationProvider());
	}
}
Spring Security 之 用户名/密码认证
悟已往之不谏，知来者之可追
01-22 353
通常，Spring Security会在内部构建一个由DaoAuthenticationProvider组成的AuthenticationManager，用于处理用户名/密码身份验证。在某些情况下，可能仍然希望自定义Spring Security使用的AuthenticationManager实例。例如，您可能需要简单地禁用对缓存用户的凭据擦除。推荐的做法是简单地发布您自己的AuthenticationManager bean，Spring Security会使用它。
SpringSecurity6 | 基于数据库实现登录认证
分享思想，留下痕迹。
07-02 6624
大家好，我是Leo哥🫣🫣🫣，通过前面几节的学习，我们知道了如果通过内存进行登录认证以及如何获取登录用户的认证信息。但是在实际开发中，我们的用户都是存储在数据库中，并非直接存放在本地内存中。接下来，我们这篇博客将基于数据库的用户来实现我们的登录认证。其实用户进行认证，最常见的认证方式就是用户名+密码，认证服务需要根据用户名从存储中查询用户信息，然后判断输入的密码和存储中的密码是否匹配。对用户名、密码存储，内存JDBC关系型数据库使用的自定义数据存储使用LDAP认证的LDAP存储。
SpringSecurity密码加密-咸密码-用户授权验证
weixin_44502237的博客
11-16 724
SpringSecurity的PasswordEncoder官网介绍，密码加密验证方式，盐密码概念，与用户授权
SpringSecurity系列学习(二):密码验证
在数字化道路无限探索
01-12 5188
版权声明:本文由神州数码云基地团队整理撰写，若转载请注明出处。密码存储安全进化史这一节我们还是积累一些知识，迫不及待想编码的小伙伴再忍忍，打好基础才能避免一些坑，一步一脚印。 最开始的时候，密码是明文存储的。黑客只需要攻破你的数据库，就能拿到所有的账号与密码了 为了防止密码泄露，后来在存储密码的时候对密码进行了哈希加密，这种加密是不可逆的。这样黑客即使攻破数据库拿到了账号和密码保存的记录，也不能获得真正的密码，因为存储在数据库里的密码是经过哈希加密算法之后的数据。 黑客为了解决这种情况，使用了彩虹表：预先将
Spring Security登录验证
最新发布
m0_74414777的博客
05-06 414
一般的AOP切面+JWT验证缺少一定的安全性，因此需要Spring Security进行进一步的安全保护。
Spring Security的密码加密和校验
思考的蜗牛
07-18 282
加密类型目前主流的有三种：对称加密、非对称加密和摘要加密对称加密: 文件加密和解密使用相同的密钥，即加密密钥也可以用作解密密钥优点：加密速度快，效率高缺点：相对不太安全（不要保存敏感信息）非对称加密：两个密钥：公开密钥（publickey）和私有密钥，公有密钥加密，私有密钥解密优点：与对称加密相比，安全性更高缺点：加密和解密速度慢，建议少量数据加密摘要加密：对数据进行哈希运算来生成一个固定长度的摘要（也称为哈希值或消息摘要）特点：不可逆，唯一性场景：密码加密、数字签名。
基于Spring Security对密码进行加密和校验
susjj663的博客
07-23 2348
上述代码中，返回的UserDetails或者是User都是框架提供的类，我们在项目开发的过程中，很多需求都是我们自定义的属性，我们需要扩展该怎么办？/***/@Data//固定不可更改//固定不可更改//扩展属性 昵称//角色列表@Override//把角色类型转换并放入对应的集合@Override@Override@Override@Override/***/@Component@Autowired@Override。
SpringSecurity系列——用户名密码登录day3-1（源于官网5.7.2版本）
qq_51553982的博客
07-20 1169
源于官方最新5.7.2文档，若你觉得官方文档阅读起来很枯燥，内容复杂，我提供了解析概括在每个部分的结尾，我对官方文档的内容做了一些改变，实例代码我会在后续进行更新，请查看如SpringSecurity系列——认证架构实例代码的文章但是如果你有能力，还是推荐直接阅读官方文档//...}...
SpringSecurity之用户名密码登录
single_cong的博客
01-07 2487
开始进行实际的Security的代码编写。 Security官方文档 过滤器链： 目前已有的，后面再加也是加在绿色的过滤器链位置。 建表（用户表，用于登录） CREATE TABLE `account` ( `id` varchar(32) NOT NULL COMMENT '主键，UUID编码', `user_name` varchar(11) DEFAULT NULL COMMENT...
Spring Boot Security 2.5.8 实现账号、手机号、邮件登录，记住密码等功能
11-13
2. **手机号登录**：为了适应移动互联网的需求，Spring Security可以通过扩展实现短信验证码或直接使用手机号作为身份验证的凭证。这通常涉及到与短信服务提供商的集成，以及对手机号的验证逻辑。 3. **邮箱登录**...
spring security3.1 实现验证码自定义登录
03-29
NULL 博文链接：https://jw-long.iteye.com/blog/1291866
使用SpringSecurity3用户验证几点体会(异常信息，验证码)
04-03
NULL 博文链接：https://kennylee26.iteye.com/blog/1473505
springsecurity密码验证原理概括
issac的博客
11-22 8297
密码验证过程 1.UsernamePasswordAuthenticationFilter 从UsernamePasswordAuthenticationFilter断点进入，此处的返回值是一个方法**getAuthenticationManager().authenticate(authRequest)**的返回值，而传入的参数正是在表单中输入的账户密码进行封装之后的结果，主要进入authentication(authRequest)中进行探索。 2.ProviderManager 进入getAuthe
SpringSecurity使用数据库的用户数据做认证
xsgnzb的专栏
03-13 697
InMemoryUserDetailsManager 初始化的位置是在UserDetailsServiceAutoConfiguration 配置文件里。所以，我们提供UserDetailsService Bean之后，配置就会自动失效。这是实例，要注意接口约定loadUserByUsername方法不能返回null，所以找不到用户时要抛UsernameNotFoundException 异常。
SpringSecurity权限管理框架系列(二)-Spring Security框架实现用户登录认证流程详解
最爱嫣夜来
03-21 1870
1、Spring Security登录认证的核心 Spring Security框架完成用户登录认证的核心就在与org.springframework.security.core.userdetails包下的UserDetailsService接口 2、UserDetailsService接口详解 2.1 UserDetailsService接口的定义 UserDetailsService接口只有一个抽象方法就是loadUserByUsername(String username)， UserDetail
Spring Security自定义登录与验证
weixin_42270584的博客
08-10 652
Spring Security 核心组件有： SecurityContext：security安全上下文，通过校验之后，验证信息存储 SecurityContext中。 SecurityContextHolder：存储认证信息。 Authentication：存储当前用户。 UserDetails：用户信息。 AuthenticationManager：作用就是校验Authentication,如果验证失败会抛出AuthenticationException异常。 框架的认证过程： 用户名密码->
Exception:A granted authority textual representation is required，Spring Security的异常
toyearn的博客
12-09 1355
spring security异常 Exception:A granted authority textual representation is required
登录报错：A granted authority textual representation is required
热门推荐
Java_Mr_Zheng的博客
09-13 1万+
在使用Spring Security配置用户登录时，从数据库中获取用户的权限信息添加到Set里面去： Set authSet = new HashSet(); List pris = this.privateService.qryPrivatesByUser(user.getUserId()); for (Iterator iterator = pris.iterator(); iter
Spring Security 验证用户名密码
01-17
### Spring Security 中实现用户名和密码验证 #### 使用 DaoAuthenticationProvider 进行用户认证 为了在 Spring Security 中实现基于用户名和密码的身份验证，`DaoAuthenticationProvider` 是一种常用的方式。此组件利用 `UserDetailsService` 接口来加载用户的详细信息，包括但不限于用户名、密码以及其他安全属性[^1]。 ```java @Configuration @EnableWebSecurity public class WebSecurityConfig extends WebSecurityConfigurerAdapter { private final UserDetailsService userDetailsService; @Autowired public WebSecurityConfig(UserDetailsService userDetailsService) { this.userDetailsService = userDetailsService; } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.authenticationProvider(daoAuthenticationProvider()); } @Bean public DaoAuthenticationProvider daoAuthenticationProvider() { DaoAuthenticationProvider provider = new DaoAuthenticationProvider(); provider.setUserDetailsService(userDetailsService); provider.setPasswordEncoder(passwordEncoder()); // 设置密码编码器以便于处理加密后的密码 return provider; } } ``` #### 自定义 UserDetailsService 实现类 对于自定义的 `UserDetailsService` 实现，通常会继承 `org.springframework.security.core.userdetails.UserDetails` 并重写其方法以适应特定的应用需求。下面是一个简单的例子： ```java @Service public class CustomUserDetailsService implements UserDetailsService { @Autowired private UserRepository userRepository; @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { Optional<User> optionalUser = userRepository.findByUsername(username); if (!optionalUser.isPresent()) throw new UsernameNotFoundException("No such user"); User user = optionalUser.get(); Set<GrantedAuthority> grantedAuthorities = new HashSet<>(); for (Role role : user.getRoles()){ grantedAuthorities.add(new SimpleGrantedAuthority(role.getName())); } return new org.springframework.security.core.userdetails.User( user.getUsername(), user.getPassword(), grantedAuthorities ); } } ``` #### 处理不同类型的 Authentication 对象 如果应用程序中有多种不同的认证方式，则可以像这样检查具体的 `Authentication` 类型并执行相应的逻辑[^2]: ```java @Override protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authentication) throws IOException, ServletException { if(authentication instanceof XinyueAccountAuthentication){ // 特定业务逻辑... } } ``` #### 启动配置 最后，在应用入口处添加必要的启动配置，确保整个项目能够正确运行[^3]。 ```java @SpringBootApplication public class StarterSecurityDemo01 { public static void main(String[] args) { SpringApplication.run(StarterSecurityDemo01.class,args); } } ``` #### 加密与解密机制 考虑到安全性问题，实际开发过程中不建议直接保存明文形式的密码。相反，应该采用合适的哈希函数对原始输入进行转换后再存入数据库中。Spring Security 支持多种内置的 PasswordEncoder 实现，比如 BCryptPasswordEncoder 或者 PBKDF2DelegatingPasswordEncoder 等[^4]。 ```java @Bean public PasswordEncoder passwordEncoder(){ return new BCryptPasswordEncoder(); // 返回一个强健的安全散列函数实例用于保护敏感数据 } ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值