spring boot 使用Security 进行用户访问控制

前言
spring security 可以对网站进行用户访问控制（验证|authentication）和用户授权(authorization)。两者也在springboot 手册中明说到： authentication (who are you?) and authorization (what are you allowed to do?)。用户授权结合OAuth进行api或者第三方接入控制授权（授权），本文使用security进行用户登录，验证用户合法性（验证）。

参考：
1、官网，网站安全控制;
2、博客，用户登录验证a;用户登录验证b

1、创建不受访问限制的项目

1.1、初始化项目

在Spring Initializr 或者编辑器中生成空白项目，maven依赖添加web和thymeleaf就可以了，如下图：

1.2、创建两个展示界面

src/main/resources/templates/home.html
<!doctype html>
<html lang="en" xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"
      xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
<head>
	<meta charset="UTF-8" />
	<title>home</title>
</head>
<body>
	<h1>Home Page</h1>
	<p>click <a th:href="@{/hello}">here</a> to see a greeting.</p>
</body>
</html>

希望通过上面这个界面跳转到 /hello，hello界面内容如下：

src/main/resources/templates/hello.html
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"
      xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Hello World!</title>
    </head>
    <body>
        <h1>Hello world!</h1>
    </body>
</html>

页面创建完成后，配置路由控制界面跳转，通过配置文件方式添加路由：

package com.noel.handbook.accesscontroll.config;

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class MvcConfig implements WebMvcConfigurer {

	@Override
	public void addViewControllers(ViewControllerRegistry registry) {
		// TODO Auto-generated method stub
		registry.addViewController("/home").setViewName("/home");
		registry.addViewController("/").setViewName("/home");
		registry.addViewController("/login").setViewName("/login");
		registry.addViewController("/hello").setViewName("/hello");
	}
}

通过重写WebMvcConfigurer 的addViewControllers方法，添加四个路由，login界面在下面创建。
到现在，可以运行项目，浏览器输入地址ip:端口/ 或者 ip:端口/home查看界面输出，界面之间和url地址之间可以随意跳转。

2、添加security

我们想控制用户需要登录后才显示hello界面，并输出登录者的用户名。
pom添加如下依赖：

pom.xml
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

然后我们限制重启项目，可以看见控制台会输出一个密码。访问任意界面会显示一个springboot的默认登录界面：

2.1、设置访问控制

package com.noel.handbook.accesscontroll.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

	@Bean
	@Override
	protected UserDetailsService userDetailsService() {
		// TODO Auto-generated method stub
		UserDetails user = User.withDefaultPasswordEncoder().username("noel").password("123").roles("USER").build();
		return new InMemoryUserDetailsManager(user);
	}

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		// TODO Auto-generated method stub
		http
		.authorizeRequests()
		.antMatchers("/", "/home").permitAll()
		.anyRequest().authenticated()
		.and()
		.formLogin()
		.loginPage("/login").permitAll()
		.and()
		.logout().permitAll();
	}
}

添加了一个继承WebSecurityConfigurerAdapter 的配置类，重写两个方法添加一些配置，并添加注解@EnableWebSecurity，开启Spring Security。
userDetailsService()这里实现了一个存在于内存中的用户，用户名是noel，密码是123,该用户的角色是USER，该角色spring 有自己的一套方法，一般以ROLE_开头的字符串说明。之后进行用户信息在数据库中的验证实现。 By the way, 不要忘了方法上的@Bean注解，不添加会无法成功登录。
configure(HttpSecurity http)定义了路径/和/home不需要访问控制，其它路径需要认证之后才能访问。登录成功后会跳转到用户之前想要访问的页面，loginPage("/login")自定义了一个用户登录界面，就不会是刚才的默认登录界面。

2.2、自定义登录界面

src/main/resources/templates/login.html
<!doctype html>
<html lang="en" xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"
      xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
<head>
    <meta charset="UTF-8" />
    <title>login</title>
</head>
<body>
    <div th:if="${param.error}">无效用户名和密码</div>
    <div th:if="${param.logout}">已登出</div>
    <form th:action="@{/login}" method="post">
        <div><label for="username">User Name: <input type="text" name="username" /></label></div>
        <div><label for="password">password: <input type="password" name="password" /></label></div>
        <div><input type="submit" value="Sign In"/></div>
    </form>
</body>
</html>

用户通过访问上面页面，在表单输入用户姓名noel、密码123后提交到/login进行登录验证，登录成功后表示验证成，否则跳转到/login?logout，返回错误信息。

2.3、用户等出

更改hello界面，显示登录成功后的用户姓名和登出按钮。

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"
      xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Hello World!</title>
    </head>
    <body>
        <h1 th:inline="text">Hello [[${#httpServletRequest.remoteUser}]]!</h1>
        <form th:action="@{/logout}" method="post">
            <input type="submit" value="Sign Out"/>
        </form>
    </body>
</html>

/logout登出成功会跳转到/login?logout。

3、验证mysql数据库存放的用户

3.1、相关配置

因为平时我们可能比较频繁与写数据库操作逻辑，所以，下面的主要以代码为主，逻辑应该比较清晰。
用户表：三个字段，其中type为用户权限等级，0为管理员，1为普通用户，在用户权限检查(CustomUserDetailsService)中会用到。添加了一个admin用户，密码是123456 的BCrypt加密结果

DROP TABLE IF EXISTS `user`;
CREATE TABLE `user` (
  `Id` int(11) NOT NULL AUTO_INCREMENT,
  `userName` varchar(255) DEFAULT NULL COMMENT '姓名',
  `password` varchar(255) DEFAULT NULL COMMENT '密码',
  `type` INTEGER DEFAULT 0,
  PRIMARY KEY (`Id`)
) ENGINE=MyISAM AUTO_INCREMENT=4 DEFAULT CHARSET=utf8 COMMENT='用户表';

INSERT INTO `user` VALUES ('0', 'Admin', '$2a$10$7HMxhcXQXp5vtVm.fmWyK.NUYNrB1.6/FUfq3PiFnOnenCp/CVIDa', '1');

添加mysql和mybatis maven 依赖:

pom.xml
<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>org.mybatis.spring.boot</groupId>
    <artifactId>mybatis-spring-boot-starter</artifactId>
    <version>2.1.0</version>
</dependency>

yml配置：设置数据库访问和mapper位置。

spring:
  datasource:
    url: jdbc:mysql://ip:3306/数据库名?useUnicode=true&charset=UTF-8&useAffectedRows=true&useSSL=false
    username: 数据库登录用户名
    password: 数据库登录密码
    driver-class-name: com.mysql.jdbc.Driver
    
mybatis:
  mapper-locations: classpath:mapper/*.xml
  type-aliases-package: com.noel.handbook.accesscontroll.model

数据库语句mapper/userMapper.xml: 根据用户名查询一个用户。

<?xml version = "1.0" encoding = "UTF-8"?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD com.example.Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd ">
<mapper namespace="com.noel.hadbook.accesscontroll.dao.IUser">
	<select id="getUser" resultType="com.noel.hadbook.accesscontroll.model.UserModel">
		SELECT * FROM user 
		<where>
			name like CONCAT('%','${name}','%')
		</where>
	</select>
</mapper>

3.2、获取用户

获取用户：

package com.noel.handbook.accesscontroll.dao;

import org.apache.ibatis.annotations.Mapper;
import org.apache.ibatis.annotations.Param;

import com.noel.handbook.accesscontroll.model.UserModel;

@Mapper
public interface IUser {

	/**
	 * 根据用户名获取一个用户
	 * @return 用户信息
	 * @author noel
	 * @date 2019年9月7日
	 */
	UserModel getUser(@Param("name")String name);
}

package com.noel.handbook.accesscontroll.model;

import lombok.AllArgsConstructor;
import lombok.Data;
import lombok.NoArgsConstructor;

@Data
@AllArgsConstructor
@NoArgsConstructor
public class UserModel {

	private String name;
	private String pwd;
	private Integer type;
}

3.3、接入Security并验证用户

/**
* <p>Title: UserDetailsService.java</p>
* <p>Description: 系统用户信息校验，权限检查</p>
* <p>Copyright: Copyright (c) 2019</p>
* <p>Company: cbpm</p>
* @author noel
* @date 2019年9月6日
 */
package com.noel.handbook.accesscontroll;

import java.util.ArrayList;
import java.util.List;

import javax.annotation.Resource;

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

import com.noel.handbook.accesscontroll.dao.IUser;
import com.noel.handbook.accesscontroll.model.UserModel;

/**
 * 用户权限检查
 * @author noel
 * @date 2019年9月6日
 */
@Service
public class CustomUserDetailsService implements UserDetailsService{
	
	private static final Logger log = LoggerFactory.getLogger(CustomUserDetailsService.class);

	@Resource
	private IUser iUser;
	
	/* (non-Javadoc)
	 * @see org.springframework.security.core.userdetails.UserDetailsService#loadUserByUsername(java.lang.String)
	 */
	@Override
	public UserDetails loadUserByUsername(String arg0) throws UsernameNotFoundException {
		// TODO Auto-generated method stub
		UserModel userModel = iUser.getUser(arg0);
		log.info("验证机制里面的用户",userModel);
		if(null == userModel) {
			throw new UsernameNotFoundException("用户不存在");
		}
		List<SimpleGrantedAuthority> authorities = new ArrayList<SimpleGrantedAuthority>();
		if(userModel.getType()==0) {
			authorities.add(new SimpleGrantedAuthority("ROLE_ADMIN"));
		}else {
			//其它所有用户都认为是普通用户
			authorities.add(new SimpleGrantedAuthority("ROLE_USER"));
		}
		return new User(userModel.getName(), userModel.getPwd(), authorities);
	}

}

以上思路是：根据用户名从数据库获取到用户信息，以及用户权限。如果登录失败，则返回错误信息并停留在登录界面；如果登录成功，则将用户名、密码、权限封装到SimpleGrantedAuthority。

package com.noel.handbook.accesscontroll.config;

import javax.annotation.Resource;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

import com.noel.handbook.accesscontroll.CustomUserDetailsService;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

	@Resource
	private CustomUserDetailsService userDetailsService;
	
//	@Bean
//	@Override
//	protected UserDetailsService userDetailsService() {
//		// TODO Auto-generated method stub
//		UserDetails user = User.withDefaultPasswordEncoder().username("noel").password("123").roles("USER").build();
//		return new InMemoryUserDetailsManager(user);
//	}

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		// TODO Auto-generated method stub
		//...
	}

	@Override
	@Autowired
	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
		// TODO Auto-generated method stub
		auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());
	}	
}

用户验证方法由UserDetailsService改为重写WebSecurityConfigurerAdapter的configure(AuthenticationManagerBuilder auth)方法，security将数据库查询的用户密码和界面传入的密码进行比较，一致则登录成功并跳转，否则停留在登录界面并返回错误信息。
结果：

源码地址： GITHUB

NoelCarlton/springboot-user-login

ErrorLooks like something went wrong!

About

Resources

Uh oh!

Stars

Watchers

Forks

Releases

Packages 0

Uh oh!

Languages

Error
Looks like something went wrong!

Packages