第3章 Spring Security 的用户认证机制（2024 最新版）（上）-阿里云开发者社区

3.1 认证流程

在 Spring Security 的世界里，认证流程是核心的安全机制，用于确认一个请求是否来自一个有效的用户。这个过程可以比作一道门槛，只有拥有正确钥匙的人才能进入。

3.1.1 基础知识详解

在深入探索用户认证机制之前，让我们首先建立一些基础知识，确保我们都在同一页面上。用户认证在应用安全中扮演着至关重要的角色，它就像是一道门槛，确保只有拥有正确密钥的人才能进入。

认证流程的核心概念

认证（Authentication）:

这是确定某人是谁的过程。在网络安全中，它通常涉及用户名和密码，但也可以包括其他方法，如二因素认证、生物识别等。

授权（Authorization）:

一旦用户被认证，接下来就是确定他们有权访问的资源或执行的操作。简单来说，就是确定他们可以做什么。

凭证（Credentials）:

通常是指证明用户身份的信息，如用户名和密码、安全令牌等。

主体（Principal）:

在安全服务中，主体通常指可以在应用中执行操作的用户、设备或其他系统。

认证管理器（AuthenticationManager）:

Spring Security 中的接口，负责协调认证过程。

用户详情服务（UserDetailsService）:

用于从指定的数据源（例如数据库、LDAP）加载用户信息的接口。

密码编码器（PasswordEncoder）:

负责密码加密和验证，以确保存储和比较密码的安全性。

认证流程的步骤

用户认证流程通常包括以下步骤：

用户提交凭证:

用户通过登录表单或其他认证机制提交他们的凭证。

加载用户详情:

系统利用 UserDetailsService 根据提交的凭证（通常是用户名）加载用户的详细信息。

凭证验证:

使用 PasswordEncoder 等工具验证用户提交的凭证（如密码）是否与存储的凭证匹配。

创建认证令牌:

一旦用户被验证，系统会创建一个认证令牌（Authentication 对象），表示用户的认证状态。

设置安全上下文:

认证令牌被存储在安全上下文（SecurityContextHolder）中，以便在应用的后续处理中使用。

通过理解这些基础知识，你现在应该对 Spring Security 中的用户认证流程有了一个清晰的概念。这为我们深入探索如何在实际应用中实现和测试不同类型的认证机制奠定了坚实的基础。

3.1.2 主要案例：内存用户认证

让我们通过一个实际的示例来演示如何在 Spring Boot 应用中实现基于内存的用户认证。这种方法非常适合开发和测试环境，让我们快速启动并运行，无需配置复杂的外部数据源。

案例 Demo：快速启动你的 Spring Boot 守护程序

想象你正在创建一个神秘的守护程序，这个程序守护着一个包含古老知识的图书馆。为了进入图书馆，读者必须通过一个古老的仪式（也就是登录过程）。但在这个仪式中，我们将使用现代的 Spring Security 魔法来识别访客。

步骤 1：准备你的魔法工具

确保你的 pom.xml 中已经添加了 Spring Security 的依赖。

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

步骤 2：铸造你的魔法咒语

创建一个配置类 SecurityConfig 来定义你的安全配置。在这个咒语中，我们将定义哪些用户有权访问我们神秘的图书馆。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("wizard").password(passwordEncoder().encode("ancientSecret")).roles("WIZARD")
            .and()
            .withUser("apprentice").password(passwordEncoder().encode("learning")).roles("APPRENTICE");
    }
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在这段咒语中，我们定义了两个用户：“wizard” 和 “apprentice”，他们分别拥有不同的秘密和角色。

步骤 3：守护你的图书馆入口

现在，让我们创建一个简单的控制器 LibraryController，来守护我们的图书馆入口。

@RestController
public class LibraryController {
    @GetMapping("/")
    public String welcome() {
        return "Welcome to the Ancient Library!";
    }
    @GetMapping("/secret")
    public String secret() {
        return "Behold the Ancient Secrets!";
    }
}

这里，任何人都可以被欢迎进入图书馆，但只有通过了认证的访客才能看到古老的秘密。

步骤 4：召唤你的应用守护程序

现在，运行你的 Spring Boot 应用。访问 http://localhost:8080/ 将显示欢迎信息。尝试访问 http://localhost:8080/secret，如果未登录，你将被重定向到登录页面。

恭喜你，你已经成功实现了基于内存的用户认证，保护了你神秘图书馆的秘密！通过这个简单的案例，你学会了如何使用 Spring Security 进行基本的安全配置，现在你的应用已经有了一个强大的守护者。

3.1.3 拓展案例 1：数据库用户认证

现在，让我们的守护程序升级，使它能够通过一个神秘的图书管理员名单（也就是数据库）来识别进入图书馆的访客。这个名单记录着每位图书管理员的名字和他们守护的秘密（用户名和密码）。

案例 Demo：让数据库守护你的秘密

假设我们的应用已经有了一些基本的用户认证机制，现在我们要将用户信息存储在数据库中，而不是静静地躺在内存里。

步骤 1：添加你的数据库和 JPA 魔法工具

首先，确保你的 pom.xml 包含了对 Spring Data JPA 和数据库（这里使用 H2 作为例子）的支持。

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-jpa</artifactId>
</dependency>
<dependency>
    <groupId>com.h2database</groupId>
    <artifactId>h2</artifactId>
    <scope>runtime</scope>
</dependency>

步骤 2：设计你的图书管理员名单

创建一个 Librarian 实体来代表你的用户，并设计一个 LibrarianRepository 来访问数据库中的用户信息。

@Entity
public class Librarian {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    private String username;
    private String password;
    // Standard getters and setters
}
public interface LibrarianRepository extends JpaRepository<Librarian, Long> {
    Optional<Librarian> findByUsername(String username);
}

步骤 3：告诉你的守护程序如何读取名单

实现 UserDetailsService 接口，让 Spring Security 知道如何通过 LibrarianRepository 从数据库中查找用户。

@Service
public class CustomUserDetailsService implements UserDetailsService {
    @Autowired
    private LibrarianRepository librarianRepository;
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        Librarian librarian = librarianRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("Librarian not found: " + username));
        return new User(librarian.getUsername(), librarian.getPassword(), new ArrayList<>());
    }
}

步骤 4：配置你的保安来使用这个名单

在你的 SecurityConfig 中，配置 AuthenticationManagerBuilder 以使用你的 CustomUserDetailsService。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private CustomUserDetailsService userDetailsService;
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder());
    }
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

步骤 5：召唤并测试你的守护程序

运行你的 Spring Boot 应用，并尝试使用存储在数据库中的用户信息进行登录。你可以通过 H2 Console 或其他数据库管理工具添加用户到你的 Librarian 表中来测试。

通过这个案例，你已经让你的应用升级，现在它可以通过数据库来认证用户了。这为保护你神秘的图书馆添加了一层额外的安全措施，确保只有真正的图书管理员能够进入。

3.1.4 拓展案例 2：集成 OAuth2 认证

在这个案例中，我们将通过集成 Lightweight Directory Access Protocol (LDAP) 认证来实现企业级的用户管理和认证机制。LDAP 是广泛用于企业环境中的用户和组织信息的目录服务协议，它允许应用以统一的方式查询和管理用户信息。

案例 Demo

假设你正在开发一个需要对接企业LDAP服务器进行用户认证的Spring Boot应用。以下是如何实现LDAP认证的步骤：

步骤 1：添加 LDAP 依赖

在 pom.xml 中添加 Spring LDAP 的依赖。

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-ldap</artifactId>
</dependency>

步骤 2：配置 LDAP

在 application.properties 或 application.yml 中配置 LDAP 连接信息，包括URL、用户DN（Distinguished Name）模式等。

spring.ldap.urls=ldap://localhost:8389
spring.ldap.base=dc=example,dc=com
spring.ldap.username=cn=admin,dc=example,dc=com
spring.ldap.password=admin
spring.ldap.user.dn-pattern=uid={0},ou=people

这些配置指定了LDAP服务器的地址、基础搜索路径、用于绑定（登录）的管理员用户名和密码，以及用于搜索用户的DN模式。

步骤 3：实现 LDAP 认证

创建一个安全配置类 WebSecurityConfig，使用LDAP进行认证。

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .ldapAuthentication()
            .userDnPatterns("uid={0},ou=people")
            .groupSearchBase("ou=groups")
            .contextSource()
            .url("ldap://localhost:8389/dc=example,dc=com")
            .and()
            .passwordCompare()
            .passwordEncoder(new BCryptPasswordEncoder())
            .passwordAttribute("userPassword");
    }
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .anyRequest().fullyAuthenticated()
            .and()
            .formLogin();
    }
}

这里我们配置了LDAP认证，指定用户和组的搜索基础，以及密码比对的策略。

步骤 4：运行和测试

启动你的 Spring Boot 应用。
访问应用中的受保护资源，例如 http://localhost:8080/。
系统应该会重定向到登录页面。尝试使用 LDAP 服务器中的用户凭证进行登录。

通过整合 LDAP 认证，你的应用现在可以利用现有的企业级用户目录进行安全的用户认证，从而实现统一的身份管理和访问控制。这种方法特别适用于大型企业应用，能够大大简化用户管理和应用部署的复杂性。

3.2 配置用户详细信息服务

在 Spring Security 中，用户详细信息服务（UserDetailsService）是一个核心接口，用于从你选择的数据源加载用户信息。通过实现这个接口，Spring Security 可以在进行认证时获取到用户的详细信息，如用户名、密码和授权。

3.2.1 基础知识详解

在 Spring Security 中，用户详细信息服务（UserDetailsService）扮演着至关重要的角色。它负责从指定的数据源中加载用户的详细信息，这些信息随后被用于在认证过程中验证用户的身份。理解并正确配置用户详细信息服务对于建立一个安全的 Spring 应用来说是必不可少的。

用户详细信息服务 (`UserDetailsService`)

UserDetailsService 是一个核心接口，定义了一个方法 loadUserByUsername(String username)，该方法接收一个用户名作为参数，并返回一个 UserDetails 实例，其中包含了用户的详细信息。如果指定用户名的用户不存在，则抛出一个 UsernameNotFoundException。

密码编码 (`PasswordEncoder`)

为了安全地存储用户密码，Spring Security 提供了密码编码器的概念。PasswordEncoder 接口定义了密码编码（加密）和匹配（验证）方法。最常用的实现是 BCryptPasswordEncoder，它使用 BCrypt 强哈希算法来加密密码。使用密码编码器可以确保即使数据被泄露，攻击者也无法轻易地解码用户密码。

认证管理器 (`AuthenticationManager`)

AuthenticationManager 是 Spring Security 认证架构的入口点。它定义了一个 authenticate(Authentication authentication) 方法，用于尝试对输入的认证信息进行认证。在配置 WebSecurityConfigurerAdapter 时，通过覆写 configure(AuthenticationManagerBuilder auth) 方法来设置应用的认证管理器，包括指定用户详细信息服务和密码编码器。

自定义用户详细信息服务

虽然 Spring Security 提供了基于内存和基于JDBC的用户详细信息服务实现，但在许多情况下，你可能需要从不同的数据源加载用户信息，如使用 JPA 从关系型数据库或者连接到 LDAP 服务器。在这种情况下，你可以通过实现 UserDetailsService 接口来提供自定义的用户详细信息服务。

自定义实现通常会涉及到以下步骤：

实现 UserDetailsService 接口：创建一个类来实现 UserDetailsService 接口，提供 loadUserByUsername 方法的具体实现，用于从你选择的数据源中加载用户信息。
配置认证管理器：在你的安全配置中（一个扩展自 WebSecurityConfigurerAdapter 的类），通过覆写 configure(AuthenticationManagerBuilder auth) 方法来使用你的自定义 UserDetailsService。
使用密码编码器：为了安全地处理密码，你应该在 configure(AuthenticationManagerBuilder auth) 方法中配置一个密码编码器（如 BCryptPasswordEncoder）。

通过深入了解和配置用户详细信息服务，你可以确保你的 Spring 应用在处理用户认证时既灵活又安全。

3.2.2 主要案例：自定义数据库用户详细信息服务

在这个案例中，我们将通过自定义 UserDetailsService 实现，从数据库加载用户信息以进行认证。这对于需要动态管理用户信息的应用尤其重要。

案例 Demo

假设我们正在开发一个需要用户认证的 Spring Boot 应用，并且希望用户信息存储在关系型数据库中。

步骤 1: 添加依赖

在 pom.xml 文件中添加 spring-boot-starter-data-jpa 和数据库相关依赖（这里以 H2 数据库为例）。

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-jpa</artifactId>
</dependency>
<dependency>
    <groupId>com.h2database</groupId>
    <artifactId>h2</artifactId>
    <scope>runtime</scope>
</dependency>

步骤 2: 配置数据源

在 application.properties 中配置数据库连接。

spring.datasource.url=jdbc:h2:mem:testdb
spring.datasource.driverClassName=org.h2.Driver
spring.datasource.username=sa
spring.datasource.password=password
spring.jpa.database-platform=org.hibernate.dialect.H2Dialect

步骤 3: 创建用户实体和仓库

定义一个 User 实体类。

@Entity
public class User {
    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private Long id;
    private String username;
    private String password;
    // Constructors, Getters, and Setters
}

创建 UserRepository 接口。

public interface UserRepository extends JpaRepository<User, Long> {
    Optional<User> findByUsername(String username);
}

步骤 4: 实现 UserDetailsService

创建 CustomUserDetailsService 类。

@Service
public class CustomUserDetailsService implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found with username: " + username));
        return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), new ArrayList<>());
    }
}

步骤 5: 配置安全性

创建 SecurityConfig 类，配置自定义的 UserDetailsService 和密码编码器。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private CustomUserDetailsService userDetailsService;
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder());
    }
}

通过这个案例，你将学会如何自定义 UserDetailsService 以从数据库加载用户信息，并在 Spring Security 中使用这些信息进行认证。这种方法为你提供了灵活性来管理用户信息，并且能够确保你的应用安全性。

第3章 Spring Security 的用户认证机制（2024 最新版）（下）+https://developer.aliyun.com/article/1487145

第3章 Spring Security 的用户认证机制（2024 最新版）（上）

3.1 认证流程

3.1.1 基础知识详解

认证流程的核心概念

认证流程的步骤

3.1.2 主要案例：内存用户认证

案例 Demo：快速启动你的 Spring Boot 守护程序

3.1.3 拓展案例 1：数据库用户认证

案例 Demo：让数据库守护你的秘密

3.1.4 拓展案例 2：集成 OAuth2 认证

案例 Demo

3.2 配置用户详细信息服务

3.2.1 基础知识详解

用户详细信息服务 (`UserDetailsService`)

密码编码 (`PasswordEncoder`)

认证管理器 (`AuthenticationManager`)

自定义用户详细信息服务

3.2.2 主要案例：自定义数据库用户详细信息服务

案例 Demo

热门文章

最新文章

相关课程

相关电子书

相关实验场景

第3章 Spring Security 的用户认证机制（2024 最新版）（上）

3.1 认证流程

3.1.1 基础知识详解

认证流程的核心概念

认证流程的步骤

3.1.2 主要案例：内存用户认证

案例 Demo：快速启动你的 Spring Boot 守护程序

3.1.3 拓展案例 1：数据库用户认证

案例 Demo：让数据库守护你的秘密

3.1.4 拓展案例 2：集成 OAuth2 认证

案例 Demo

3.2 配置用户详细信息服务

3.2.1 基础知识详解

用户详细信息服务 (UserDetailsService)

密码编码 (PasswordEncoder)

认证管理器 (AuthenticationManager)

自定义用户详细信息服务

3.2.2 主要案例：自定义数据库用户详细信息服务

案例 Demo

热门文章

最新文章

相关课程

相关电子书

相关实验场景

用户详细信息服务 (`UserDetailsService`)

密码编码 (`PasswordEncoder`)

认证管理器 (`AuthenticationManager`)