【SpringSecurity】快速入门—通俗易懂

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
</dependencies>

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
}

@Override
  protected void configure(HttpSecurity http) throws Exception {
    http.formLogin()
      //.loginPage("/login.html")//指定登录页面(这里不会前端，所以不写页面了)
      //.loginProcessingUrl("/authentication/form")//登录访问路径(登录页面的form表单提交路径)
      //.failureUrl("/error.html")//用户名或密码错误访问的页面
      //.usernameParameter("username")
      //.passwordParameter("password")   //要认证的 用户名, 密码  的参数名，默认username, password
      .defaultSuccessUrl("/index/toIndex").permitAll()//defaultSuccessUrl：登录成功后，是否始终跳转到登录成功url，它默认为false。  permitAll()就是指不需要拦截
    .and().authorizeRequests()
      .antMatchers("/index/testRoleAndPermission").hasAnyRole("admin")//设置哪些路径需要什么权限
      .antMatchers("/index/anyOne","/index/anyTwo").permitAll()//设置哪些路径可以直接访问，不需要认证
      .anyRequest().authenticated();//其余任何请求都需要认证
    .and().csrf()
      .disable();//关闭csrf防护
  }

// 用于配置身份验证机制
        // AuthenticationManagerBuilder常用方法：（下面的方法我没有写参数，实际情况可能是有参的）
                // inMemoryAuthentication(): 这个方法允许您在内存中配置用户详细信息。您可以指定用户名、密码和用户角色。这对于快速测试和开发目的非常方便。
                // userDetailsService(): 这个方法接受一个UserDetailsService对象，用于加载用户的详细信息。UserDetailsService是一个接口，您需要实现它来根据用户名加载用户信息。
                // jdbcAuthentication(): 这个方法允许您使用JDBC来加载用户详细信息。您需要提供一个DataSource对象和相应的查询语句来检索用户名、密码和角色信息。
                // ldapAuthentication(): 这个方法用于配置LDAP（轻量级目录访问协议）身份验证。您需要提供LDAP服务器的连接信息和相应的查询语句。
                // authenticationProvider(): 这个方法允许您提供自定义的AuthenticationProvider实现，用于验证用户的身份。
    // userDetailsService(T userDetailsService)：    根据传入的自定义UserDetailsService做身份验证。
    // 返回值：                                       会返回一个DaoAuthenticationConfigurer(该类继承AbstractDaoAuthenticationConfigurer抽象类)}
        // passwordEncoder(PasswordEncoder passwordEncoder)： 来自于抽象类， 用于指定自定义密码匹配器，便于后续springsecutiry底层后续使用。
  @Override
  protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
  }

// 必须要个这种密码匹配器，springsecurity要求的，必须对密码进行加密。
  @Bean
  public PasswordEncoder passwordEncoder(){
    return new BCryptPasswordEncoder();
  }

/**
 * @author lihao
 * @version 1.0
 * @ClassName SecurityUserServiceImpl
 * @date 2023/5/25  9:43
 * @apiNote UserDetailsService：用于加载用户的详细信息，以供身份验证和授权使用。它提供了一个方法loadUserByUsername(String username)用于用户名获取用户的详细信息。
 *                              我们想更改springcurity的认证，我们就可以实现UserDetailsService，因为security底层就是用其做核心认证的。
 **/
@Service
public class SecurityUserServiceImpl extends ServiceImpl<SecurityUserMapper, SecurityUser> implements SecurityUserService, UserDetailsService {
  
  @Resource
  private SecurityUserMapper securityUserMapper;
  
  @Override
  public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    LambdaQueryWrapper<SecurityUser> wrapper = new LambdaQueryWrapper<>();
    wrapper.eq(SecurityUser::getUsername,username);
    SecurityUser user = securityUserMapper.selectOne(wrapper);
    if (user==null) {
      throw new UsernameNotFoundException("用户没找到");
    }
    
        // loadUserByUsername方法需要返回一个UserDetails(接口)，常用实现类User。因此我们返回一个SpringSecurity提供的User对象。
        // 该User对象所需的参数中，密码必须加密(由springsecurity要求)，因为我前面已经在SecurityConfig配置了加密器，所以这里就不需要对密码进行加密。
        // 否则需要加密：new BCryptPasswordEncoder().encode(user.getPassword())  ---- 可以这么写
    // 第三个参数，他需要一个权限集合，这里只做认证，所以随便搞一个角色集合，不影响认证，注意，这里第三个参数不能直接传null，必须给它一个集合。
    List<GrantedAuthority> adminAuthority = AuthorityUtils.commaSeparatedStringToAuthorityList("admin");
    return new User(user.getUsername(), user.getPassword(), adminAuthority); // 已在SecurityConfig配置了加密组件，所以不需要对这里的密码加密。
  }

// 开启记住我功能
http.rememberMe()
 .tokenRepository(tokenRepository)
 .userDetailsService(usersService);

@Autowired
private DataSource dataSource;
@Bean
public PersistentTokenRepository persistentTokenRepository(){
 JdbcTokenRepositoryImpl jdbcTokenRepository = new 
JdbcTokenRepositoryImpl();
// 赋值数据源
jdbcTokenRepository.setDataSource(dataSource);
// 自动创建表,第一次执行会创建，以后要执行就要删除掉！
jdbcTokenRepository.setCreateTableOnStartup(true);
return jdbcTokenRepository;
 }
}

http.logout().logoutUrl("/logout").logoutSuccessUrl("/index").permitAll
();

@SpringBootApplication
@EnableGlobalMethodSecurity(securedEnabled=true)
public class DemosecurityApplication {
public static void main(String[] args) {
 SpringApplication.run(DemosecurityApplication.class, args);
 }
}

// 测试注解：
@RequestMapping("testSecured")
@ResponseBody
@Secured({"ROLE_normal","ROLE_admin"})
public String helloUser() {
return "hello,user";
}

@RequestMapping("/preAuthorize")
@ResponseBody
//@PreAuthorize("hasRole('ROLE_管理员')")
@PreAuthorize("hasAnyAuthority('menu:system')")
public String preAuthorize(){
 System.out.println("preAuthorize");
return "preAuthorize";
}

@RequestMapping("/testPostAuthorize")
@ResponseBody
@PostAuthorize("hasAnyAuthority('menu:system')")
public String preAuthorize(){
 System.out.println("test--PostAuthorize");
return "PostAuthorize";
}

@RequestMapping("getAll")
@PreAuthorize("hasRole('ROLE_管理员')")
@PostFilter("filterObject.username == 'admin1'")
@ResponseBody
public List<UserInfo> getAllUser(){
 ArrayList<UserInfo> list = new ArrayList<>();
 list.add(new UserInfo(1l,"admin1","6666"));
 list.add(new UserInfo(2l,"admin2","888"));
return list;
}

@RequestMapping("getTestPreFilter")
@PreAuthorize("hasRole('ROLE_管理员')")
@PreFilter(value = "filterObject.id%2==0")
@ResponseBody
public List<UserInfo> getTestPreFilter(@RequestBody List<UserInfo> 
list){
 list.forEach(t-> {
 System.out.println(t.getId()+"\t"+t.getUsername());
 });
return list;
}