springsecurity权限控制(springboot权限控制框架)

本文介绍了SpringBoot2如何集成SpringSecurity框架来实现用户权限的安全管理。内容非常详细，有兴趣的朋友可以参考一下，希望对你有帮助。

00-1010

一、Security简介

Spring Security是一个安全框架，可以为基于Spring的企业应用系统提供声明式安全访问控制解决方案。它提供了一套可以在Spring的应用上下文中配置的Bean，充分利用了Spring的IOC、DI和AOP (Aspect-Oriented Programming，面向方面编程)功能，为应用系统提供声明式的安全访问控制功能，减少了编写大量重复代码进行安全控制的工作。

1、基础概念

1)、安全上下文持有者

最基础的对象保存着当前会话用户认证、权限、认证等核心数据。SecurityContextHolder默认情况下使用ThreadLocal策略存储身份验证信息，该策略与线程绑定。当用户退出时，当前线程的身份验证信息被自动清除。了解springcloud架构可以补充：3536247259。

初始化源代码：显然使用ThreadLocal线程。

privatedstationinitialize(){ if(！stringutils . hastext(strategyName)){ 0

strategyName=' MODE _ THREADLOCAL '；

} if(strategyname . equals(' MODE _ THREADLOCAL '){ }

strategy=new threadlocalsecuritycontextholders strategy()；

} else if(strategyname . equals(' MODE _ inheritable threadlocal '){ }

strategy=new inheritable threadlocalsecuritycontextholders strategy()；

} else if(strategyname . equals(' MODE _ GLOBAL '){ }

strategy=new globalsecuritycontextholders strategy()；

} else { try {

上课？clazz=class . for name(strategyName)；

建造师？custom strategy=clazz . getconstructor()；

strategy=(security contextholders strategy)customstrategy . new instance()；

} catch(exception var2){ 0

reflectionutils . handlereflectionexception(var2)；

}

}

nbsp;   ++initializeCount;
}

2)、Authentication

源代码

public interface Authentication extends Principal, Serializable {
    Collection<? extends GrantedAuthority> getAuthorities();   
    Object getCredentials();  
    Object getDetails();   
    Object getPrincipal();  
    boolean isAuthenticated();    
  　 void setAuthenticated(boolean var1) throws IllegalArgumentException;
}

源码分析

1)、getAuthorities，权限列表,通常是代表权限的字符串集合;
2)、getCredentials，密码,认证之后会移出，来保证安全性;
3)、getDetails，请求的细节参数;
4)、getPrincipal, 核心身份信息，一般返回UserDetails的实现类。

3)、UserDetails

封装了用户的详细的信息。

public interface UserDetails extends Serializable {
    Collection<? extends GrantedAuthority> getAuthorities();  
     String getPassword();  
     String getUsername();    
     boolean isAccountNonExpired();   
     boolean isAccountNonLocked();   
     boolean isCredentialsNonExpired();  
     boolean isEnabled();
}

4)、UserDetailsService

实现该接口，自定义用户认证流程，通常读取数据库，对比用户的登录信息，完成认证，授权。

public interface UserDetailsService {    
UserDetails loadUserByUsername(String var1) throws UsernameNotFoundException;
}

5)、AuthenticationManager

认证流程顶级接口。可以通过实现AuthenticationManager接口来自定义自己的认证方式，Spring提供了一个默认的实现，ProviderManager。

public interface AuthenticationManager {   
 Authentication authenticate(Authentication var1) throws AuthenticationException;
}

二、与SpringBoot2整合

1、流程描述

1)、三个页面分类，page1、page2、page3
2)、未登录授权都不可以访问
3)、登录后根据用户权限，访问指定页面
4)、对于未授权页面，访问返回403：资源不可用

2、核心依赖

<dependency>
 　<groupId>org.springframework.boot</groupId>
　 <artifactId>spring-boot-starter-security</artifactId>
　 </dependency>

3、核心配置

/**
 * EnableWebSecurity注解使得SpringMVC集成了Spring Security的web安全支持
 */@EnableWebSecuritypublic class SecurityConfig extends WebSecurityConfigurerAdapter {    /**
     * 权限配置
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {        // 配置拦截规则
        http.authorizeRequests().antMatchers("/").permitAll()
                 .antMatchers("/page1/**").hasRole("LEVEL1")
                 .antMatchers("/page2/**").hasRole("LEVEL2")
                 .antMatchers("/page3/**").hasRole("LEVEL3");        // 配置登录功能
        http.formLogin().usernameParameter("user")
                .passwordParameter("pwd")
                .loginPage("/userLogin");        // 注销成功跳转首页
        http.logout().logoutSuccessUrl("/");        //开启记住我功能
        http.rememberMe().rememberMeParameter("remeber");
    }    /**
     * 自定义认证数据源
     */
    @Override
    protected void configure(AuthenticationManagerBuilder builder) throws Exception{
        builder.userDetailsService(userDetailService())
                .passwordEncoder(passwordEncoder());
    }    @Bean
    public UserDetailServiceImpl userDetailService (){        return new UserDetailServiceImpl () ;
    }    /**
     * 密码加密
     */
    @Bean
    public BCryptPasswordEncoder passwordEncoder(){        return new BCryptPasswordEncoder();
    }    /*
     * 硬编码几个用户
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("spring").password("123456").roles("LEVEL1","LEVEL2")
                .and()
                .withUser("summer").password("123456").roles("LEVEL2","LEVEL3")
                .and()
                .withUser("autumn").password("123456").roles("LEVEL1","LEVEL3");
    }
    */}

4、认证流程

@Servicepublic class UserDetailServiceImpl implements UserDetailsService {    @Resource
    private UserRoleMapper userRoleMapper ;    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {        // 这里可以捕获异常，使用异常映射，抛出指定的提示信息
        // 用户校验的操作
        // 假设密码是数据库查询的 123
        String password = "$2a$10$XcigeMfToGQ2bqRToFtUi.sG1V.HhrJV6RBjji1yncXReSNNIPl1K";        // 假设角色是数据库查询的
        List<String> roleList = userRoleMapper.selectByUserName(username) ;
        List<GrantedAuthority> grantedAuthorityList = new ArrayList<>() ;        /*
         * Spring Boot 2.0 版本踩坑
         * 必须要 ROLE_ 前缀， 因为 hasRole("LEVEL1")判断时会自动加上ROLE_前缀变成 ROLE_LEVEL1 ,
         * 如果不加前缀一般就会出现403错误
         * 在给用户赋权限时,数据库存储必须是完整的权限标识ROLE_LEVEL1
         */
        if (roleList != null && roleList.size()>0){            for (String role : roleList){
                grantedAuthorityList.add(new SimpleGrantedAuthority(role)) ;
            }
        }        return new User(username,password,grantedAuthorityList);
    }
}

5、测试接口

@Controllerpublic class PageController {    /**
     * 首页
     */
    @RequestMapping("/")   
     public String index (){       
     return "home" ;
    }  
      /**
     * 登录页
     */
    @RequestMapping("/userLogin")    
    public String loginPage (){        
    return "pages/login" ;
    }  
      /**
     * page1 下页面
     */
    @PreAuthorize("hasAuthority('LEVEL1')")   
     @RequestMapping("/page1/{pageName}")    
     public String onePage (@PathVariable("pageName") String pageName){        
     return "pages/page1/"+pageName ;
    }    
    /**
     * page2 下页面
     */
    @PreAuthorize("hasAuthority('LEVEL2')")   
     @RequestMapping("/page2/{pageName}")   
      public String twoPage (@PathVariable("pageName") String pageName){        
      return "pages/page2/"+pageName ;
    }   
     /**
     * page3 下页面
     */
    @PreAuthorize("hasAuthority('LEVEL3')")   
     @RequestMapping("/page3/{pageName}")    
     public String threePage (@PathVariable("pageName") String pageName){        
     return "pages/page3/"+pageName ;
    }
}

6、登录界面

这里要和Security的配置文件相对应。

<div align="center">
    <form th:action="@{/userLogin}" method="post">
        用户名:<input name="user"/><br>
        密&nbsp;&nbsp;&nbsp;码:<input name="pwd"><br/>
        <input type="checkbox" name="remeber"> 记住我<br/>
        <input type="submit" value="Login">
    </form></div>

关于SpringBoot2 整合SpringSecurity框架是怎么实现用户权限安全管理就分享到这里了，希望