到这里，我们的SpringSecurity就已经完结啦，文章中可能有些地方不能做到全面覆盖，视频教程地址
- ???? 初始项目地址
- ???? 完成项目地址
1、搭建环境
-
建议下载初始项目，跟着文章一步一步搭建。加深对于
SpringSecurity的理解。 -
❌ 需要将
application.properties的数据库配置，改成您自己对应的信息 -
❌ 如若依赖问题，修改Idea Maven，改成自己的
-
❌ 还需将Jdk版本改成您自己所使用的的版本。项目使用的是
JDK12 -
❌ 数据库脚本在完成项目中的sql文件中
2、简单使用
-
添加
SpringSecurity依赖 -
❌ 注：这里没有申明版本号，是由于我们项目继承的SpringBoot父项目，它已经为我们适配了对于的版本。
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
然后启动项目即可：
- ????️ 观察控制台：这是
SpringSecurity为我们临时生成的密码，默认用户名为user
- ????️ 回到浏览器，输入
http://localhost:8080/community,由于我们此时还未登陆，会重定向到默认创建的登陆页面中，这是SpringSecurity默认为我们做的。 - ???? 输入控制台的密码，即可进入到系统，
3、自定义使用
- 相信小伙伴们已经对
SpringSecurity已经有了初步的了解，但是正常的项目中，不可能采用这个默认登陆页面呀，这点SpringSecurity也早就想到了。 - 当然可以自定义登陆页面，但是在自定义登陆页面之前，我们需要简单处理一下我们的实体类。
在用户登录时，系统会根据用户名，从存储设备查找该用户的密码及权限等，将其组装成一个
UserDetails对象。并用UserDetails中的数据对用户进行认证，决定其输入的用户名/密码是否正确。
- ???? 观察
UserDetails结构
public interface UserDetails extends Serializable {
Collection<? extends GrantedAuthority> getAuthorities();//权限
String getPassword(); //密码
String getUsername(); //用户名
boolean isAccountNonExpired(); //账号是否未过期
boolean isAccountNonLocked(); //账号是否未锁定
boolean isCredentialsNonExpired();//密码是否未过期
boolean isEnabled(); //是否激活
- 里面定义了许多关于用户的信息，可以看到它是一个接口，并不能直接使用。那么肯定就有默认的实现类，要不然我们上面的登陆功能是怎么完成的呢。
- ????️ 此项目中采用 实体类继承它的方式来完成。
@Data
public class User implements UserDetails {
private int id;
private String username;
private String password;
private String salt;
private String email;
private int type; // 1 管理员 2普通用户
private int status;
private String activationCode;
private String headerUrl;
private Date createTime;
//权限
@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
List<GrantedAuthority> permissions = new ArrayList<>();
permissions.add((GrantedAuthority) () -> {
switch (type) { //
case 1:
return "ADMIN";
default:
return "USER";
}
});
return permissions;
}
// true 帐户未过期
@Override
public boolean isAccountNonExpired() {
return true;
}
// true 帐户未锁定
@Override
public boolean isAccountNonLocked() {
return true;
}
// true 凭证未过期
@Override
public boolean isCredentialsNonExpired() {
return true;
}
// true 账号是否可用
@Override
public boolean isEnabled() {
return true;
}
}
- ⁉️ 定义了UserDetails之后，当然还远远不够，哪个方法查询数据库来获取我们的用户信息呢？就是Security中的
UserDetailsService接口
- ⭕️ 它肯定也有默认实现类的，但是我们需要查询数据库对应的用户数据，所以我们还是采用
自定义的方式去完成。
@Service
public class UserService implements UserDetailsService {
@Resource
private UserMapper userMapper;
// 根据用户名去查询用户数据
public User findUserByName(String username) {
return userMapper.selectByName(username);
}
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
return this.findUserByName(username);
}
}
- ⛎ 完成到这里，对于用户信息的功能已经实现，但是我们还没有配置我们的登陆界面。
配置Security
- ❗️ 在
config目录下创建SecurityConfig
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Resource
private UserService userService;
}
- ❗️ 正常项目中，肯定会有许多的静态资源，这些都可以在不登录的情况下访问，如css、js等
@Override
public void configure(WebSecurity web) throws Exception {
// 忽略静态资源
web.ignoring().antMatchers("/resources/**");
}
- ❗️ 当然我们上面的
UserService只实现了认证的查询，并没有配置在何时去调用这个类。
认证规则二选其一即可
// AuthenticationManager: 认证的核心接口
// AuthenticationManagerBuilder: 用户构建AuthenticationManager对象的工厂类
// ProviderManager: AuthenticationManager默认使用的实现类
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
//内置的认证规则
//auth.userDetailsService(userService).passwordEncoder(new BCryptPasswordEncoder());
// 自定义认证规则
// AuthenticationProvider: ProviderManager持有一组AuthenticationProvider，每个AuthenticationProvider负责一种认证
// 委托模式：
// AuthenticationProvider: 就好比登陆方式，不仅有密码登录，且还有微信，等其他登陆方式，每一种登陆方式对应一个AuthenticationProvider
auth.authenticationProvider(new AuthenticationProvider() {
// Authentication: 用于封装认证信息的接口，不同实现类代表不同类型的认证信息
@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
String username = authentication.getName();
String password = authentication.getCredentials().toString();
User user = userService.findUserByName(username);
if (user == null) {
throw new UsernameNotFoundException("账号或密码错误！");
}
password = CommunityUtil.md5(password + user.getSalt());
if (!user.getPassword().equals(password)) {
throw new BadCredentialsException("账号或密码错误！");
}
// principal：认证的主要信息 credentials：代表用户 authorities：权限信息
return new UsernamePasswordAuthenticationToken(user, user.getPassword(), user.getAuthorities());
}
// 当前的AuthenticationProvider 支持哪种类型的认证。
@Override
public boolean supports(Class<?> aClass) {
// UsernamePasswordAuthenticationToken: Authentication接口常用的实现类
// 这样配置，我们当前项目只支持UsernamePasswordAuthenticationToken的认证
return UsernamePasswordAuthenticationToken.class.equals(aClass);
}
});
}
- ❗️ 配置了以上步骤，是不是觉得Security挺麻烦的，别急马上到头了。
@Override
protected void configure(HttpSecurity http) throws Exception {
// 登陆相关配置
http.formLogin()
.loginPage("/loginpage") // 登陆页面
.loginProcessingUrl("/login") // 处理登陆请求的路径
.successHandler(new AuthenticationSuccessHandler() { // 认证成功处理器
@Override
public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
// 重定向到主页面
response.sendRedirect(request.getContextPath() + "/index");
}
})
.failureHandler(new AuthenticationFailureHandler() { // 认证失败处理器
@Override
public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException e) throws IOException, ServletException {
// 请求转发到登陆页面
// 因为在项目中，登陆失败后，往往需要携带错误信息到页面展示，所有采用请求转发的方式
request.setAttribute("error", e.getMessage());
request.getRequestDispatcher("/loginpage").forward(request, response);
}
});
// 退出相关配置
http.logout().logoutUrl("/logout").logoutSuccessUrl("/index"); // 退出后重定向到的接口
// 授权配置 配置什么路径只能什么权限访问
http.authorizeRequests()
.antMatchers("/letter").hasAnyAuthority("USER", "ADMIN")
.antMatchers("/admin").hasAnyAuthority("ADMIN")
.and().exceptionHandling().accessDeniedPage("/denied"); //无权限时，重回定向到的页面
}
- 现在对于后端的配置就完成啦，前端界面建议直接从完成的项目中copy
- ❗️ 一定要检查数据库有没有对应的用户数据哦！！！
- 接下来就是你们的时间啦。自行测试
- 但是正常的项目中，登陆功能一定会有验证码的存在，SpringSecurity也想到了这一点，我们都知道SpringSecurity是由一大串过滤器来完成对应功能的，也就是说，我们需要在登陆校验之前完成对于验证码的校验。如下：
// 增加Filter 处理验证码
http.addFilterBefore(new Filter() {
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest) servletRequest;
HttpServletResponse response = (HttpServletResponse) servletResponse;
if (request.getServletPath().equals("/login")) {
// 正常项目中 验证码会存储在Session或者Redis中，为了方便。此项目的验证码都是1234
String verifyCode = request.getParameter("verifyCode");
if (!"1234".equals(verifyCode)) {
request.setAttribute("error", "验证码错误！");
request.getRequestDispatcher("/loginpage").forward(request, response);
return;
}
}
// 放行请求，执行到下一个过滤器
filterChain.doFilter(request, response);
}
}, UsernamePasswordAuthenticationFilter.class);
// 记住我功能
http.rememberMe()
.tokenRepository(new InMemoryTokenRepositoryImpl()) // 用户的令牌存储到哪，InMemoryTokenRepositoryImpl 存储到内存中
.tokenValiditySeconds(3600 * 24) // 过期时间
.userDetailsService(userService);// 当关闭浏览器后，第二次访问，去拿重新查询用户的数据
到这里，我们的SpringSecurity就已经完结啦，文章中可能有些地方不能做到全面覆盖，视频教程地址