SpringSecurity：1-认证授权

2021-04-07 阅读量

认证授权

1、`PasswordEncoder`密码解析器介绍

@Test
void contextLoads() {
    // 密码加密
    PasswordEncoder pw = new BCryptPasswordEncoder();
    String encode = pw.encode("1234456");
    System.out.println(encode);
    // $2a$10$.UgdbvhexcWPw4iuL.f9R.TTgJkS2gMoVb3zSTIoloT7xXLg/IL7a
    
    // 密码匹配
    boolean matches = pw.matches("1234456", encode);
    System.out.println(matches); // true
}

2、认证授权

2.1、登录实现类（手动构造Service层）

@Service
public class UserServiceImpl implements UserDetailsService{

    @Autowired
    private PasswordEncoder passwordEncoder;

    // 登录逻辑的实现
    @Override
    public UserDetails loadUserByUsername(String username) throws
            UsernameNotFoundException {

        // 1.根据username 查询数据库, 假设查询到的为user（密码解密前为123456）
        if (!"admin".equals(username)) {
            throw new UsernameNotFoundException("用户名或密码不存在");
        }

        // 2.根据查询的对像 进行密码比较
        String password = passwordEncoder.encode("123456");

        // 3.返回用户对像（并设置相应权限以及角色）
        // 权限：vip1、vip2
        // 角色定义：ROLE_角色名
        return new User("admin", password, AuthorityUtils
                .commaSeparatedStringToAuthorityList("vip1,vip2,ROLE_admin"));
    }
}

2.2、SpringSecurity的配置类

antMatchers里面传ant表达式:

?：匹配一个字符
*：匹配0个或多个字符

**：匹配0个或多个目录

// 放行js以及css文件夹下的所有文件:
antMatchers("/js/**", "/css/**").permitAll()
// 放行所有js文件
antMatchers(”/**/*/.js").permitAll()

SpringSecurity的配置类

// 拦截器：使用aop横切进去，所以不改变原来的代码
@EnableWebSecurity  // 开启WebSecurity模式
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter{

    @Autowired
    private UserServiceImpl userService;

    @Autowired
    private PersistentTokenRepository tokenRepository;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 表单登录
        http.formLogin()
                // 自定义登录页面（没有权限的话，让用户跳转到登录页）
                .loginPage("/login.html")
                // 执行自定义登录逻辑：UserServiceImpl里的LoadUserByUsername
                .loginProcessingUrl("/login")
                // 登录成功后跳转的页面（这个请求必须是Post方式）
                .successForwardUrl("/toMain")
                // 登录失败后跳转的页面（这个请求必须是Post方式）
                .failureForwardUrl("/toError");

        // 定制 认证、授权规则
        http.authorizeRequests()
                // 登录页 所有人都能访问
                .antMatchers("/login.html").permitAll()
                // 失败页 所有人都能访问
                .antMatchers("/error.html").permitAll()
                //  放行js以及css文件夹下的所有文件
                .antMatchers("/js/**", "/css/**").permitAll()
                // 放行image下的所有文件 (需要是POST请求)
                .antMatchers(HttpMethod.POST, "/image/**").permitAll()
                // author.html页面必须要有”vip1“ 或 “vip1”权限才能访问
                .antMatchers("/author.html").hasAnyAuthority("vip1", "vip2")
                // author.html页面必须要有”admin“角色才能访问
                .antMatchers("/author.html").hasAnyRole("admin")
                // 只有指定ip才能访问
                // .antMatchers("/author.html").hasIpAddress("");
                // 所有请求必须通过认证(登录)才能访问
                .anyRequest().authenticated();

        // 关闭csrf防护
        http.csrf().disable();
    }

    //
    @Bean
    public PasswordEncoder pw() {
        return new BCryptPasswordEncoder();
    }
}

3、添加 `RememberMe` 记住我功能

3.1、前端页面设置

只需要在登录表单中配置记住我的字段,字段值必须为remember-me。(这个是默认的，可以更改)
SpringSecurity会自动把用户信息存储到数据源中。

<form action="/login" method="post">
    用户名：<input type="text" name="username"/><br/>
    密码：<input type="text" name="password"/><br/>
    记住我：<input type="checkbox" name="remember-me"><br/>
    <input type="submit" value="登录"/>
</form>

3.2、后端配置类设置添加相应配置

@EnableWebSecurity  // 开启WebSecurity模式
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter{

    @Autowired
    private UserServiceImpl userService;

    // 配置文件有dataSource，所以这里可以直接注入
    @Autowired
    private DataSource dataSource;

    @Autowired
    private PersistentTokenRepository tokenRepository;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 表单登录
        http.formLogin()
                // 自定义登录页面（没有权限的话，让用户跳转到登录页）
                .loginPage("/login.html")
                // 执行自定义登录逻辑：UserServiceImpl里的LoadUserByUsername
                .loginProcessingUrl("/login")
                // 登录成功后跳转的页面（这个请求必须是Post方式）
                .successForwardUrl("/toMain")
                // 登录失败后跳转的页面（这个请求必须是Post方式）
                .failureForwardUrl("/toError");

        // 定制 认证、授权规则
        http.authorizeRequests()
                // 登录页 所有人都能访问
                .antMatchers("/login.html").permitAll()
                // 失败页 所有人都能访问
                .antMatchers("/error.html").permitAll()
                //  放行js以及css文件夹下的所有文件
                .antMatchers("/js/**", "/css/**").permitAll()
                // 放行image下的所有文件 (需要是POST请求)
                .antMatchers(HttpMethod.POST, "/image/**").permitAll()
                // author.html页面必须要有”vip1“ 或 “vip1”权限才能访问
                .antMatchers("/author.html").hasAnyAuthority("vip1", "vip2")
                // author.html页面必须要有”admin“角色才能访问
                .antMatchers("/author.html").hasAnyRole("admin")
                // 只有指定ip才能访问
                // .antMatchers("/author.html").hasIpAddress("");
                // 所有请求必须通过认证(登录)才能访问
                .anyRequest().authenticated();

        // 记住我
        http.rememberMe()
                // 接收登录表单“记住我”单选框的 name属性值（默认为remember-me）
                .rememberMeParameter("remember")
                // 自定义登录逻辑
                .userDetailsService(userService)
                // 指定存储位置（可以是内存，也可以是数据库）
                .tokenRepository(tokenRepository)
                // 记住我有效时长：一个星期
                .tokenValiditySeconds(60*60*24*7);

        // .and() // and可以用于连接多个配置

        // 开启了注销功能
        http.logout()
                // 退出登录的url
                .logoutUrl("/logout")
                // 退出登录成功后，跳到哪个指定页面
                .logoutSuccessUrl("/login.html");

        // 关闭csrf防护
        http.csrf().disable();
    }

    //
    @Bean
    public PasswordEncoder pw() {
        return new BCryptPasswordEncoder();
    }

    // 记住我功能(数据源配置)
    @Bean
    public PersistentTokenRepository tokenRepository(){
        JdbcTokenRepositoryImpl tokenRepository = new JdbcTokenRepositoryImpl();
        // 数据源可以是：内存、数据库、缓存、Jwt
        tokenRepository.setDataSource(dataSource);

        // 项目启动时，是否自动创建表，true自动创建
        // 第一次要，之后注释掉（避免重复创建）
        // tokenRepository.setCreateTableOnStartup(true);

        return tokenRepository;
    }
}

4、按钮展示

4.1、引入命名空间依赖

<!--thymeleaf与springsecurity5的组合依赖-->
<dependency>
    <groupId>com.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity5</artifactId>
</dependency>
<!--thymeleaf-->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-thymeleaf</artifactId>
</dependency>

4.2、在html中引入命名空间

<html xmlns="http://www.w3.org/1999/xhtml"
      xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5">
</html>

4.4、按钮设置、属性获取

可以在html页面中通过sec:authentication=""获取。
UsernamePasswordAuthenticationToken中所有getXXX的内容，包含父类中的getXXX的内容。
根据源码得出以下属性：

name ：登录账号名称
principal：登录主体，在自定义登录逻辑中是UserDetails
credentials：凭证
authorities：权限和角色

details：实际上是WebAuthenticationDetails的实例。可以获取remoteAddress（客户端ip）和sessionId（当前用户sessiionId）

<!DOCTYPE html>
<html lang="en"
      xmlns="http://www.w3.org/1999/xhtml"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
登录账号：<span sec:authentication="name"></span><br/>
登录账号：<span sec:authentication="principal.username"></span><br/>
凭证：<span sec:authentication="credentials"></span><br/>
角色和权限：<span sec:authentication="authorities"></span><br/>
客户端地址：<span sec:authentication="details.remoteAddress"></span><br/>
sessionId：<span sec:authentication="details.sessionId"></span><br/>
<br/>
<br/>
<br/>
通过权限判断要展示什么按钮：
<button sec:authorize="hasAuthority('vip1')">新增</button>
<button sec:authorize="hasAuthority('vip1')">删除</button>
<button sec:authorize="hasAuthority('vip2')">修改</button>
<button sec:authorize="hasAuthority('vip3')">查看</button>
<br/>

通过角色判断要展示什么按钮：
<button sec:authorize="hasRole('root')">新增</button>
<button sec:authorize="hasRole('admin')">删除</button>
<button sec:authorize="hasRole('root')">修改</button>
<button sec:authorize="hasRole('admin')">查看</button>
</body>
</html>

4.CSRF

4.1、什么是CSRF

CSRF(Cross Site Request Forgery)跨站请求伪造，通过伪造用户请求来非法访问受信任的站点。
跨域：只要网络协议、IP地址、端口中任何一个不相同就是跨域请求。
客户端与服务器进行交互时，由于http是无状态协议，所以引入cookie来记录客户端身份。在cookie中会存放sessionId用来识别客户端身份。在跨域情况下，sessionId可能被第三方劫持，
通过这个sessionId向客户端发起请求，客户端会认为这个请求是合法的，可能会发生意想不到的事情。

4.2、SpringSecurity中的CSRF

从SpringSecurity4开始，CSRF防护默认开启。默认会拦截请求，进行CSRF处理。CSRF为了保证不是其他第三方网站访问，要求
访问时携带参数名为_csrf，值为token的内容，如果此token和服务的为其生成的token一致，则访问成功。