SpringSecurity是spring全家桶中的一个安全管理框架，类似于shiro，但是比shiro功能更加的丰富。
主要核心功能是 认证 和 授权 ：
认证：验证当前访问系统的是不是本系统的用户，并且要确定具体是哪个用户
授权：经过认证后判断当前用户是否有权限进行某个操作
引入Spring Security的依赖
org.springframework.boot
spring-boot-starter-security
引入依赖后我们尝试去访问之前的springboot接口回自动跳转到一个springsecurity的默认登录页面，默认用户名是user，密码会输出到控制台；
必须登陆之后才能对接口进行访问
springsecurity的原理其实就是一个 过滤器链，内部包含了提供各种功能的过滤器。
图中只是展示了核心过滤器，其他的非核心过滤器并没有在图中展示。
UsernamePasswordAuthenticationFilter: 负责处理我们在登陆页面填写了用户名密码后的登陆请求。ExceptionTranslationFilter: 处理过滤器链中抛出的任何AccessDeniedException和AuthenticationExceptionFilterSecurityInterceptor: 负责权限校验的过滤器
1.3 springsecurity的主要认证授权流程登录：
- 自定义登录接口；调用ProviderManange的方法进行认证 ，认证成功生成JWT，把用户信息存redis自定义userDetailsService的实现类；查询数据库
- 定义JWT认证过滤器；获取token，解析token获取userid，从redis中获取用户信息，存入SecurityContextHodler中，方便其他地方的使用
Authentication接口：他的实现类，表示当前访问系统的用户，封装了用户相关信息。
AuthenticationManager接口：定义了认证Authentication的方法
UserDetailsService接口：加载用户特定数据的核心接口。里面定义了一个根据用户名查询用户信息的方法
UserDetails接口：提供核心用户信息。通过UserDetailsService根据用户名获取处理的用户信息要封装成UserDetails对象返回这些信息封装到Authentication对象中。
实际开发中会把5.1这一步查询数据来判断用户名密码是否正确，所以我们需要改变的地方是：写一个UserDetailsService的实现了，让DaoAuthenticationProvider去调用这个实现类。
最后的逻辑图：
登录：
- 自定义登录接口；调用ProviderManange的方法进行认证 ，认证成功生成JWT，把用户信息存redis自定义userDetailsService的实现类；查询数据库
- 定义JWT认证过滤器；获取token，解析token获取userid，从redis中获取用户信息，存入SecurityContextHodler中（因为后面的springsecurity的过滤器都是从这个SecurityContextHodler来获取认证的状态），方便其他地方的使用
1. 自定义登录接口；调用ProviderManange的方法进行认证 ，认证成功生成JWT，把用户信息存redis 2. 自定义userDetailsService的实现类；查询数据库1.数据库的准备工作
spring-boot-starter-security，redis，jjwt，fastjson，mybatisplus等
3.配置application.ymlorg.springframework.boot spring-boot-starter-weborg.projectlombok lomboktrue org.springframework.boot spring-boot-starter-testtest org.springframework.boot spring-boot-starter-securityio.jsonwebtoken jjwt0.9.0 org.springframework.boot spring-boot-starter-redis1.4.3.RELEASE mysql mysql-connector-javacom.baomidou mybatis-plus-boot-starter3.4.1 com.alibaba fastjson1.2.33
jjwt，redis，数据库等
server:
port: 8190
spring:
datasource:
username: root
password: root
url: jdbc:mysql://localhost:3306/mytest?allowMultiQueries=true&useUnicode=true&characterEncoding=UTF-8&useSSL=true&serverTimezone=Asia/Shanghai
driver-class-name: com.mysql.cj.jdbc.Driver
redis:
host: 127.0.0.1
port: 6379
mybatis:
mapper-locations: classpath:mapper
@Data
@AllArgsConstructor
public class LonginUser implements UserDetails {
private SysUser user;
// 获得用户的权限
@Override
public Collection getAuthorities() {
return null;
}
// 获得用户的密码
@Override
public String getPassword() {
return user.getPassword();
}
// 获得用户的名字
@Override
public String getUsername() {
return user.getUserName();
}
@Override
public boolean isAccountNonExpired() {
return true;
}
@Override
public boolean isAccountNonLocked() {
return true;
}
@Override
public boolean isCredentialsNonExpired() {
return true;
}
@Override
public boolean isEnabled() {
return true;
}
}
自定义UserDetailsService实现类
package com.security.demo.service.impl;
import com.baomidou.mybatisplus.core.conditions.query.LambdaQueryWrapper;
import com.security.demo.dao.SysUserDao;
import com.security.demo.pojo.LonginUser;
import com.security.demo.pojo.SysUser;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;
import java.util.Objects;
@Service
public class UserDetailsServiceImpl implements UserDetailsService {
@Autowired
private SysUserDao userDao;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
// 1. 校验用户名和密码
LambdaQueryWrapper wrapper = new LambdaQueryWrapper<>();
wrapper.eq(SysUser::getUserName, username);
SysUser user = userDao.selectOne(wrapper); // 数据库查询
if (Objects.isNull(user)) {
throw new RuntimeException("用户名或密码不正确"); // 其实就是用户名不正确
}
// TODO 2. 存储用户信息进入SecurityContextHolder（包括权限信息）
return new LonginUser(user);
}
}
此时重启项目，输入数据库中的用户名和密码，会报错，因为默认的密码校验器是有一些特殊规则的，需要把数据库中的密码前面加（noop）表示明文存储
为何会这样呢？因为在实际项目中我们不会把密码明文存储在数据库中。
springsecurity默认使用的passwordEncoder要求数据库中的密码格式为：(id)password。它会根据id去判断密码的加密方式。但是我们一般不会采用这种方式，所以，就需要替换掉passwordEncoder方法。
我们不使用springsecurity默认的加密方式。
我们一般使用springsecurity为我们提供的BCryptPasswordEncoder（内部会生成一个随机的盐，保证每次加密的结果都不一样）。
我们只需要使用吧BCryptPasswordEncoder对象注入spring容器中，springsecurity就会使用该passwordEncoder来进行密码校验。
用法：我们可以定义一个springsecurity的配置类，springsecurity要求这个配置类要继承WebSecurityConfigurerAdapter。然后在注册的时候，注入这个对象，给密码加密存储进数据库
@Configuration
public class securityConfig extends WebSecurityConfigurerAdapter {
// 替换掉默认的密码加密器
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
}
BCryptPasswordEncoder有两个方法，一个encode加密，一个matches（原密码，加密后的密码）匹配
5.自定义登录接口创建jwt的工具类
package com.sangeng.utils;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.base64;
import java.util.Date;
import java.util.UUID;
public class JwtUtil {
//有效期为
public static final Long JWT_TTL = 60 * 60 *1000L;// 60 * 60 *1000 一个小时
//设置秘钥明文
public static final String JWT_KEY = "sangeng";
public static String getUUID(){
String token = UUID.randomUUID().toString().replaceAll("-", "");
return token;
}
public static String createJWT(String subject) {
JwtBuilder builder = getJwtBuilder(subject, null, getUUID());// 设置过期时间
return builder.compact();
}
public static String createJWT(String subject, Long ttlMillis) {
JwtBuilder builder = getJwtBuilder(subject, ttlMillis, getUUID());// 设置过期时间
return builder.compact();
}
private static JwtBuilder getJwtBuilder(String subject, Long ttlMillis, String uuid) {
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
SecretKey secretKey = generalKey();
long nowMillis = System.currentTimeMillis();
Date now = new Date(nowMillis);
if(ttlMillis==null){
ttlMillis=JwtUtil.JWT_TTL;
}
long expMillis = nowMillis + ttlMillis;
Date expDate = new Date(expMillis);
return Jwts.builder()
.setId(uuid) //唯一的ID
.setSubject(subject) // 主题 可以是JSON数据
.setIssuer("sg") // 签发者
.setIssuedAt(now) // 签发时间
.signWith(signatureAlgorithm, secretKey) //使用HS256对称加密算法签名, 第二个参数为秘钥
.setExpiration(expDate);
}
public static String createJWT(String id, String subject, Long ttlMillis) {
JwtBuilder builder = getJwtBuilder(subject, ttlMillis, id);// 设置过期时间
return builder.compact();
}
public static void main(String[] args) throws Exception {
// String jwt = createJWT("2123");
Claims claims = parseJWT("eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiIyOTY2ZGE3NGYyZGM0ZDAxOGU1OWYwNjBkYmZkMjZhMSIsInN1YiI6IjIiLCJpc3MiOiJzZyIsImlhdCI6MTYzOTk2MjU1MCwiZXhwIjoxNjM5OTY2MTUwfQ.NluqZnyJ0gHz-2wBIari2r3XpPp06UMn4JS2sWHILs0");
String subject = claims.getSubject();
System.out.println(subject);
// System.out.println(claims);
}
public static SecretKey generalKey() {
byte[] encodedKey = base64.getDecoder().decode(JwtUtil.JWT_KEY);
SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
return key;
}
public static Claims parseJWT(String jwt) throws Exception {
SecretKey secretKey = generalKey();
return Jwts.parser()
.setSigningKey(secretKey)
.parseClaimsJws(jwt)
.getBody();
}
}
登录接口
开放这个接口的白名单，让用户访问这个接口的时候不用登录也能访问。
在接口中我们通过AuthenticationManager的authenticate方法来进行用户认证，所以需要SecurityConfig中配置把AuthenticationManager注入容器。
认证成功的话要生成一个jwt，放入响应中返回，并且为了让用户回请求时能通过jwt识别出具体的是哪个用户，我们需要把用户信息存储入redis，用户id作为key
控制器：
在SecurityConfig 中把AuthenticationManager注入到容器中：
在SecurityConfig里面配置认证的配置：
@Configuration
public class securityConfig extends WebSecurityConfigurerAdapter {
// 替换掉默认的密码加密器
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
// AuthenticationManager注入到容器
@Bean
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean();
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.csrf().disable()
.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
.and()
.authorizeRequests()
.antMatchers("/login").anonymous()
.anyRequest().authenticated();
}
}
登录接口的实现类：
存储在redis的数据是这样的：
authenticationManager.authenticate(authenticationToken); 这个方法回去调前面我们写的UserDetailsServiceImpl（实现了UserDetailsService的类）类中的loadUserByUsername（String username）方法，在这个方法里面我们去和数据库做校验查看是否有这个用户，然后把用户信息存储进前面定义的LonginUser（实现了UserDetails的类）中返回放入Authentication,此时在校验密码。
此时我们就登录成功了且返回了token给前端，那以后其他接口需要我们先对这个token进行验证。
我们需要自定义一个过滤器，这个过滤器会去获取请求头中的token，对token进行解析去除其中的userid
使用userid去redis中获取对于的loginuser对象
然后封装Authentication对象存入SecurityContextHolder
必须要把用户信息放入SecurityContextHolder中才行，因为后面其他的security自带的过滤器都是从SecurityContextHolder中获得用户信息的
在SecurityConfig里面修改 认证的配置：
此时认证就写好了，正常访问携带token放请求头中
我们只需要定义一个退出登录接口，然后获取securityContextHolder中的认证信息，删除redis对应的数据就行。
三、授权不同用户可以使用不同的功能，这就是权限系统要去实现的效果。
授权的节本流程：在springsecurity中，会使用默认的FilterSecurityInterceptor来进行权限校验，在FilterSecurityInterceptor中会从SecurityContextHolder获取其中的Authentication，然后获取其中的权限信息。当前用户是否拥有访问当前资源所需的权限。
所以我们在项目中需要把 当前登录用户的权限信息也存入Authentication。
然后设置我们的资源所需要的的权限即可。
在springsecurity的配置类上加上注解,来开启相关springsecurity的授权配置
@EnableGlobalMethodSecurity(prePostEnabled = true)
使用@PreAuthorize，来判断用户是否具有test的权限
- 认证的时候给用户授权
// 首先在UserDetails中封装权限
// 登录的时候存储用户权限信息
// 登录校验时，从redis获取loginuser存储在SecurityContextHolder中
用户 - 角色 - 权限 以及之间的中间表
3.2.2 sql
编写通过userid查看权限的sql
把登录的时候存储权限的userDetails中的权限从数据库中查询出来在插入。
我们希望在认证失败或者授权失败的情况下也能和我们的接口返回相同的结构json，这样我们就需要使用springsecurity的异常处理机制。
在springsecurity中，如果我们在认证或者授权的过程中出现了异常会被ExceptionTranslationFilter捕获到，判断是认证失败还是授权失败导致的异常。
如果是认证过程中出现的异常会被封装成AuthenticationException然后调用AuthenticationEntryPoint对象的方法来进行异常处理；
如果是授权过程中出现的异常会被封装成AccessDeniedException然后调用AccessDeniedHandler对象的方法来进行异常处理；
所以，我们只需要自己定义AuthenticationEntryPoint和AccessDeniedException后配置给springsecurity就可自定义异常处理了。操作如下：
浏览器处于安全的考虑，使用XMLHttpRequest对象发起HTTP请求时必须准守同源策略，否则就是跨域的，默认被禁止。
解决方法：
我们前面都是使用@PreAuthorize注解，然后在其中使用的是hasAuthority方法进行校验，SpringSecurity还为我们提供了其他方法，例如：hasAnyAuthority，hasRole,hasAnyRole等。
hasAuthority的原理：该方法实际上是执行了SecurityexpressionRoot的hasAuthority，内部其实是很调用了authentication的getAuthorities方法获取用户的权限列表，然后判断我们存入的方法参数数据在权限列表中吗。
其他的权限校验方法：
hasAnyAuthority 方法，可以传入多个权限，只要用户有其中任意一个就可以
hasRole方法， 要求有对应的角色才可以访问，但是它内部会把我们传入的参数拼接上ROLE_后再去比较。所以这种情况下要用户对应的权限也要有ROLE_这个个前缀才可以。
hasAnyRole方法， 有任意的角色就可以访问，也是需要拼接ROLE_才可以
6.2 自定义权限校验方法
我们也可以定义自己的权限校验方法，在@PreAuthorize注解中使用我们的方法。
先自定义一个类，其中定义一个权限校验方法
控制器指明权限控制方法的位置
不适用注解，直接在配置类中配置授权，也是可以的。
6.4 CSRFCSRF是指跨站请求伪造（Cross-site request forgery），是web常见的攻击之一。
springsecurity去防止CSRF攻击的方式就是通过csrf_token。后端会生成一个csrf_token，前端发起七扭去的时候需要携带这个token，后端会有过滤器进行校验，没有就不允许访问。
我们可以发现csrf攻击依靠的是cookie中携带的认证信息，但是子啊前后端分离的项目中我们的认证信息其实是token，而token不存储在cookie中，且前端去吧token设置到请求头中才可以，这样就解决了csrf攻击。
所以，我们直接关闭csrf不进行校验
实际上在UsernamepasswordAuthenticationFilter进行登录认证的时候，如果登录成功了会调用AuthenticationSuccessHandler的方法进行成功后的处理，AuthenticationSuccessHandler就是登录成功的处理器。
我们可以自定义成功处理器来进行相应处理。
1.配置类
2.自定义认证成功处理器
实际上在UsernamepasswordAuthenticationFilter进行登录认证的时候，如果登录失败了会调用AuthenticationFailureHandler的方法进行失败后的处理，AuthenticationFailureHandler就是登录失败的处理器。
我们可以自定义失败处理器来进行相应处理。
