Spring boot 中 Spring Security 使用改造5部曲

部分例子Demo，该例子实现了：

用户自定义登陆，没有连接数据库
https://download.****.net/download/zhou199252/10486047

使用Spring Security很简单，只要在pom.xml文件中，引入spring security的依赖就可以了。

<groupId>org.springframework.boot</groupId>

<artifactId>spring-boot-starter-security</artifactId>

</dependency>

慕课 demo

package com.imooc.springboot.config;

import org.springframework.context.annotation.Configuration;

import org.springframework.security.config.annotation.web.builders.HttpSecurity;

import org.springframework.security.config.annotation.web.builders.WebSecurity;

import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;

import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

/**

* @Auther: 封玉书 FYS

* @Date: 2018.6.12 22:49

* @Description:

@Configuration

@EnableWebSecurity // 这两个注解非常重要，关系到是否能拦截下相关地址

public class SpringSecurityConfig extends WebSecurityConfigurerAdapter

{

/**

* 可以忽略哪些资源，不处理登录过程

* @param web

* @throws Exception

@Override

public void configure(WebSecurity web) throws Exception

{

web.ignoring().antMatchers("/js/**", "/css/**", "/images/**");

}

/**

* @param http

* @throws Exception

@Override

protected void configure(HttpSecurity http) throws Exception

{

http.authorizeRequests()

.antMatchers("/").permitAll() // / 该路径放行

.anyRequest().authenticated() // 其他都需要验证

.and().logout().permitAll() // 登出不需要验证

.and().formLogin(); // 允许表单登录

http.csrf().disable(); // 关闭scrf认证

}

测试类

package com.imooc.springboot.controller;

import org.springframework.stereotype.Controller;

import org.springframework.web.bind.annotation.RequestMapping;

import org.springframework.web.bind.annotation.RestController;

/**

* @Auther: 封玉书 FYS

* @Date: 2018.6.12 23:09

* @Description:

@RestController

public class LoginController

{

@RequestMapping("/")

public String loginEvent()

{

return "Login Request..";

}

@RequestMapping("/hello")

public String helloEvent()

{

return "hello Request..";

}

自定义加密方式与校验方式

public class MyPasswordEncoder implements PasswordEncoder {

private final static String SALT = "123456";

@Override

public String encode(CharSequence rawPassword) {

Md5PasswordEncoder encoder = new Md5PasswordEncoder();

return encoder.encodePassword(rawPassword.toString(), SALT);

}

@Override

public boolean matches(CharSequence rawPassword, String encodedPassword) {

Md5PasswordEncoder encoder = new Md5PasswordEncoder();

return encoder.isPasswordValid(encodedPassword, rawPassword.toString(), SALT);

}

允许哪些角色访问

@PreAuthorize("hasRole('ROLE_ADMIN')")

@RequestMapping("/roleAuth")

public String role() {

return "admin auth";

}

允许哪些条件访问

@PreAuthorize("#id<10 and principal.username.equals(#username) and #user.username.equals('abc')")

@PostAuthorize("returnObject%2==0")

@RequestMapping("/test")

public Integer test(Integer id, String username, User user) {

// ...

return id;

}

经过该接口后，过滤那些内容，如：被2整除的，被4整除的

@PreFilter("filterObject%2==0")

@PostFilter("filterObject%4==0")

@RequestMapping("/test2")

public List<Integer> test2(List<Integer> idList) {

// ...

return idList;

}

开发中问题：

定义了如下方法之后，即使成功登陆也无法跳转到预期的界面。解决方案：

https://blog.****.net/canon_in_d_major/article/details/79675033

@Configuration

@EnableWebSecurity

public class SecurityConfiguration extends WebSecurityConfigurerAdapter

{

@Override

protected void configure(AuthenticationManagerBuilder auth) throws Exception

{

auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())

.withUser("root").password(new BCryptPasswordEncoder()

.encode("123")).roles("ADMIN");

auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())

.withUser("123").password(new BCryptPasswordEncoder()

.encode("123")).roles("USER");

}

编写好继承了WebSecurityConfigurerAdapter类的WebSecurityConfig类后，我们需要在configure(AuthenticationManagerBuilder auth) 方法中定义认证用于信息获取来源以及密码校验规则等。（configure函数名字不重要，官方用的好像是configureGlobal(……)，重要的是在这个被@EnableWebSecurity或@EnableGlobalMethodSecurity，或者@EnableGlobalAuthentication注解的类中配置了AuthenticationManagerBuilder）。

我一开始用的认证信息获取来源是内存获取——inMemoryAuthentication，代码如下

[java] view plain copy

protected void configure(AuthenticationManagerBuilder auth) throws Exception {
//inMemoryAuthentication 从内存中获取
auth.inMemoryAuthentication().withUser("user1").password("123456").roles("USER");
}

使用的是spring security自带的login页面，结果登陆的时候，用户名和密码正确也无法打开资源，还是停留在login页面。而且发现控制台报了异常——There is no PasswordEncoder mapped for the id “null”。

网上百度了一下发现这是因为Spring security 5.0中新增了多种加密方式，也改变了密码的格式。

我们来看一下官方文档，以下是官方文档原话：

-------------------------------------------------------------------------------------------------------------------

The general format for a password is:

{id}encodedPassword

Such that id is an identifier used to look up which PasswordEncoder should be used and encodedPassword is the original encoded password for the selected PasswordEncoder. The id must be at the beginning of the password, start with { and end with }. If the id cannot be found, the id will be null. For example, the following might be a list of passwords encoded using different id. All of the original passwords are "password".

{bcrypt}$2a$10$dXJ3SW6G7P50lGmMkkmwe.20cQQubK3.HZWzG3YB1tlRy.fqvM/BG {noop}password {pbkdf2}5d923b44a6d129f3ddf3e3c8d29412723dcbde72445e8ef6bf3b508fbf17fa4ed4d6b99ca763d8dc {scrypt}$e0801$8bWJaSu2IKSn9Z9kM+TPXfOc/9bdYSrN1oD9qfVThWEwdRTnO7re7Ei+fUZRJ68k9lTyuTeUp4of4g24hHnazw==$OAOec05+bXxvuu/1qZ6NUR+xQYvYv7BeL1QxwRpY5Pc= {sha256}97cde38028ad898ebc02e690819fa220e88c62e0699403e94fff291cfffaf8410849f27605abcbc0

-------------------------------------------------------------------------------------------------------------------

上面这段话的意思是说，现如今Spring Security中密码的存储格式是“{id}…………”。前面的id是加密方式，id可以是bcrypt、sha256等，后面跟着的是加密后的密码。也就是说，程序拿到传过来的密码的时候，会首先查找被“{”和“}”包括起来的id，来确定后面的密码是被怎么样加密的，如果找不到就认为id是null。这也就是为什么我们的程序会报错：There is no PasswordEncoder mapped for the id “null”。官方文档举的例子中是各种加密方式针对同一密码加密后的存储形式，原始密码都是“password”。

要想我们的项目还能够正常登陆，需要修改一下configure中的代码。我们要将前端传过来的密码进行某种方式加密，spring security 官方推荐的是使用bcrypt加密方式。那么如何对密码加密呢，只需要在configure方法里面指定一下。

修改后是这样的：

[java] view plain copy

protected void configure(AuthenticationManagerBuilder auth) throws Exception {
//inMemoryAuthentication 从内存中获取
auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder()).withUser("user1").password(new BCryptPasswordEncoder().encode("123456")).roles("USER");
}

在inMemoryAuthentication()后面多了".passwordEncoder(new BCryptPasswordEncoder())",这相当于登陆时用BCrypt加密方式对用户密码进行处理。以前的".password("123456")" 变成了 ".password(new BCryptPasswordEncoder().encode("123456"))" ，这相当于对内存中的密码进行Bcrypt编码加密。比对时一致，说明密码正确，允许登陆。

如果你现在用的也是从内存中取密码，那么按照上面这么修改后应该会成功登录没有问题的。

如果你用的是在数据库中存储用户名和密码，那么一般是要在用户注册时就使用BCrypt编码将用户密码加密处理后存储在数据库中。并且修改configure()方法，加入".passwordEncoder(new BCryptPasswordEncoder())"，保证用户登录时使用bcrypt对密码进行处理再与数据库中的密码比对。如下：

[java] view plain copy

//注入userDetailsService的实现类
auth.userDetailsService(userService).passwordEncoder(new BCryptPasswordEncoder());

Spring boot 中 Spring Security 使用改造5部曲

相关推荐