spring bootspring security

Posted 2020-11-21

Spring security

1.认证Authentication，确认用户可以访问当前系统

重写protect void configure(AuthenticationManagerBuilder auth){

1. auth.inMemoryAuthentication()

.withUser(“ss”).password(“ss”).roles(“ROLE_ADMIN”);//内存中的用户

2. auth.jdbcAuthentication().dataSource(dataSource) //jdbc中的用户

（Spring security中默认了数据库的结构，可以自定义查询用户和权限的sql语句）

3. auth.userDetaisService(customUserService) //通用的用户，见下：

}

通用的用户：数据访问不仅仅是内存或jdbc，还可能是非关系型数据库，或JPA,需要自定义实现UserDetailService接口

//自定义类CustomUserService实现UserDetailsService接口

public class CustomUserService implements UserDetailsService{

    @Autowired

    SysUserRepository userRepository;

    @Override

    public UserDetails loadUserByUsername(String name){

        //SysUser是系统的用户领域类对象

        SysUser user = userRepository.findbyUsername(name);

        List<GrantedAuthority> authoritys = new ArrayList<GrantedAuthority>();

        authoritys.add(new SimpleGrantedAuthority("ROLE_ADMIN"));

        //User来自于spring security框架

        return new User(user.getUsername(),user.getPassword(),authoritys);

    }

}

//注册这个实现类

@Bean

UserDetaisService customUserService(){

    return new CustomUserService();

}

2.授权Authorization，确认用户在当前系统下所拥有的功能权限

重写protected void configure(HttpSecurity http)

请求拦截路径匹配器：

autMatchers：使用ant风格的路径匹配

regexMatchers：正则表达式匹配路径

anyRequest：匹配所有的请求路径

匹配请求路径后，进行安全处理，Spring security提供了安全处理方法：

access（String）spring el表达式为true时可访问；

denyAll（）用户不能访问；

permitAll()用户可以任意访问

authenticated（）用户登录后可以访问

… … 

如：@Override

protected void configure(HttpSecurity http){

    http.authorizeRequests() //开始请求权限配置

            .autMatchers("/admin/**").hasRole("ROLE_ADMIN")

            .autMatchers("/user/**").hasAnyRole("ROLE_ADMIN","ROLE_USER")

            .anyRequest().authenticted();//其余所有用户都需要认证后（登陆后）才可以访问

}

定制登录行为：

@Override

protected void configure(HttpSecurity http){

    http.fromLogin()    //定制登录操作

            .loginPage("/login")    

            .defaultSuccessUrl("/index")

            .failureUrl("/login?error")

            .permitAll()    

            .and()

            .rememberMe()   //开启cookie存储用户信息

                .tokenValiditySeconds(1209600)

                .key("myKey")

            .and()

            .logout()

                .logoutUrl("/custome-logout")

                .logoutSuccessUrl("/logout-success")

                .permitAll();

}