【SpringSecurity】快速入门—通俗易懂

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
</dependencies>

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

}

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.formLogin()
			//.loginPage("/login.html")//指定登录页面(这里不会前端，所以不写页面了)
			//.loginProcessingUrl("/authentication/form")//登录访问路径(登录页面的form表单提交路径)
			//.failureUrl("/error.html")//用户名或密码错误访问的页面
			//.usernameParameter("username")
			//.passwordParameter("password")   //要认证的 用户名, 密码  的参数名，默认username, password
			.defaultSuccessUrl("/index/toIndex").permitAll()//defaultSuccessUrl：登录成功后，是否始终跳转到登录成功url，它默认为false。  permitAll()就是指不需要拦截
		.and().authorizeRequests()
			.antMatchers("/index/testRoleAndPermission").hasAnyRole("admin")//设置哪些路径需要什么权限
			.antMatchers("/index/anyOne","/index/anyTwo").permitAll()//设置哪些路径可以直接访问，不需要认证
			.anyRequest().authenticated();//其余任何请求都需要认证
		.and().csrf()
			.disable();//关闭csrf防护
	}

// 用于配置身份验证机制
        // AuthenticationManagerBuilder常用方法：（下面的方法我没有写参数，实际情况可能是有参的）
                // inMemoryAuthentication(): 这个方法允许您在内存中配置用户详细信息。您可以指定用户名、密码和用户角色。这对于快速测试和开发目的非常方便。
                // userDetailsService(): 这个方法接受一个UserDetailsService对象，用于加载用户的详细信息。UserDetailsService是一个接口，您需要实现它来根据用户名加载用户信息。
                // jdbcAuthentication(): 这个方法允许您使用JDBC来加载用户详细信息。您需要提供一个DataSource对象和相应的查询语句来检索用户名、密码和角色信息。
                // ldapAuthentication(): 这个方法用于配置LDAP（轻量级目录访问协议）身份验证。您需要提供LDAP服务器的连接信息和相应的查询语句。
                // authenticationProvider(): 这个方法允许您提供自定义的AuthenticationProvider实现，用于验证用户的身份。

		// userDetailsService(T userDetailsService)：    根据传入的自定义UserDetailsService做身份验证。
		// 返回值：                                       会返回一个DaoAuthenticationConfigurer(该类继承AbstractDaoAuthenticationConfigurer抽象类)}
        // passwordEncoder(PasswordEncoder passwordEncoder)： 来自于抽象类， 用于指定自定义密码匹配器，便于后续springsecutiry底层后续使用。
	@Override
	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
		auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
	}

// 必须要个这种密码匹配器，springsecurity要求的，必须对密码进行加密。
	@Bean
	public PasswordEncoder passwordEncoder(){
		return new BCryptPasswordEncoder();
	}

/**
 * @author lihao
 * @version 1.0
 * @ClassName SecurityUserServiceImpl
 * @date 2023/5/25  9:43
 * @apiNote UserDetailsService：用于加载用户的详细信息，以供身份验证和授权使用。它提供了一个方法loadUserByUsername(String username)用于用户名获取用户的详细信息。
 *                              我们想更改springcurity的认证，我们就可以实现UserDetailsService，因为security底层就是用其做核心认证的。
 **/
@Service
public class SecurityUserServiceImpl extends ServiceImpl<SecurityUserMapper, SecurityUser> implements SecurityUserService, UserDetailsService {
	
	@Resource
	private SecurityUserMapper securityUserMapper;
	
	@Override
	public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
		LambdaQueryWrapper<SecurityUser> wrapper = new LambdaQueryWrapper<>();
		wrapper.eq(SecurityUser::getUsername,username);
		SecurityUser user = securityUserMapper.selectOne(wrapper);
		if (user==null) {
			throw new UsernameNotFoundException("用户没找到");
		}
		
        // loadUserByUsername方法需要返回一个UserDetails(接口)，常用实现类User。因此我们返回一个SpringSecurity提供的User对象。
        // 该User对象所需的参数中，密码必须加密(由springsecurity要求)，因为我前面已经在SecurityConfig配置了加密器，所以这里就不需要对密码进行加密。
        // 否则需要加密：new BCryptPasswordEncoder().encode(user.getPassword())  ---- 可以这么写

		// 第三个参数，他需要一个权限集合，这里只做认证，所以随便搞一个角色集合，不影响认证，注意，这里第三个参数不能直接传null，必须给它一个集合。
		List<GrantedAuthority> adminAuthority = AuthorityUtils.commaSeparatedStringToAuthorityList("admin");
		return new User(user.getUsername(), user.getPassword(), adminAuthority); // 已在SecurityConfig配置了加密组件，所以不需要对这里的密码加密。
	}

// 开启记住我功能
http.rememberMe()
 .tokenRepository(tokenRepository)
 .userDetailsService(usersService);

@Autowired
private DataSource dataSource;
@Bean
public PersistentTokenRepository persistentTokenRepository(){
 JdbcTokenRepositoryImpl jdbcTokenRepository = new 
JdbcTokenRepositoryImpl();
// 赋值数据源
jdbcTokenRepository.setDataSource(dataSource);
// 自动创建表,第一次执行会创建，以后要执行就要删除掉！
jdbcTokenRepository.setCreateTableOnStartup(true);
return jdbcTokenRepository;
 }
}

http.logout().logoutUrl("/logout").logoutSuccessUrl("/index").permitAll
();

@SpringBootApplication
@EnableGlobalMethodSecurity(securedEnabled=true)
public class DemosecurityApplication {
public static void main(String[] args) {
 SpringApplication.run(DemosecurityApplication.class, args);
 }
}

// 测试注解：
@RequestMapping("testSecured")
@ResponseBody
@Secured({"ROLE_normal","ROLE_admin"})
public String helloUser() {
return "hello,user";
}

@RequestMapping("/preAuthorize")
@ResponseBody
//@PreAuthorize("hasRole('ROLE_管理员')")
@PreAuthorize("hasAnyAuthority('menu:system')")
public String preAuthorize(){
 System.out.println("preAuthorize");
return "preAuthorize";
}

@RequestMapping("/testPostAuthorize")
@ResponseBody
@PostAuthorize("hasAnyAuthority('menu:system')")
public String preAuthorize(){
 System.out.println("test--PostAuthorize");
return "PostAuthorize";
}

@RequestMapping("getAll")
@PreAuthorize("hasRole('ROLE_管理员')")
@PostFilter("filterObject.username == 'admin1'")
@ResponseBody
public List<UserInfo> getAllUser(){
 ArrayList<UserInfo> list = new ArrayList<>();
 list.add(new UserInfo(1l,"admin1","6666"));
 list.add(new UserInfo(2l,"admin2","888"));
return list;
}

@RequestMapping("getTestPreFilter")
@PreAuthorize("hasRole('ROLE_管理员')")
@PreFilter(value = "filterObject.id%2==0")
@ResponseBody
public List<UserInfo> getTestPreFilter(@RequestBody List<UserInfo> 
list){
 list.forEach(t-> {
 System.out.println(t.getId()+"\t"+t.getUsername());
 });
return list;
}