一、Spring Security介绍
1.Spring Security 是 Spring 项目组中用来提供安全认证服务的框架，安全包括两个主要操作：
1）“认证”，是为用户建立一个他所声明的主体。主题一般式指用户，设备或可以在你系 统中执行动作的其他系统。
2）“授权”，指的是一个用户能否在你的应用中执行某个操作，在到达授权判断之前，身份的主题已经由 身份验证过程建立了。
2.Maven依赖
<dependency> <groupId>org.springframework.securitygroupId> <artifactId>spring-security-webartifactId> <version>5.0.1.RELEASEversion> dependency> <dependency> <groupId>org.springframework.securitygroupId> <artifactId>spring-security-configartifactId> <version>5.0.1.RELEASEversion> dependency>
二、Spring Security使用数据库认证
1.使用UserDetails、UserDetailsService来完成操作
* UserDetails
UserDetails是一个接口，我们可以认为UserDetails作用是于封装当前进行认证的用户信息，但由于其是一个 接口，所以我们可以对其进行实现，也可以使用Spring Security提供的一个UserDetails的实现类User来完成 操作
* UserDetailsService
三、登陆案例
1.导入依赖
2.配置SpringSecurity.xml文件
xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:security="http://www.springframework.org/schema/security"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans.xsd
http://www.springframework.org/schema/security
http://www.springframework.org/schema/security/spring-security.xsd">
<security:global-method-security pre-post-annotations="enabled" jsr250-annotations="enabled" secured-annotations="enabled"/>
<bean id="webSecurityExpressionHandler" class="org.springframework.security.web.access.expression.DefaultWebSecurityExpressionHandler"/>
<security:http pattern="/login.jsp" security="none"/>
<security:http pattern="/failer.jsp" security="none"/>
<security:http pattern="/css/**" security="none"/>
<security:http pattern="/img/**" security="none"/>
<security:http pattern="/plugins/**" security="none"/>
<security:http auto-config="true" use-expressions="false">
<security:intercept-url pattern="/**" access="ROLE_USER,ROLE_ADMIN"/>
<security:form-login
login-page="/login.jsp"
login-processing-url="/login.do"
default-target-url="/index.jsp"
authentication-failure-url="/failer.jsp"
authentication-success-forward-url="/pages/main.jsp"
/>
<security:csrf disabled="true"/>
<security:logout invalidate-session="true" logout-url="/logout.do" logout-success-url="/login.jsp" />
security:http>
<security:authentication-manager>
<security:authentication-provider user-service-ref="userService">
<security:password-encoder ref="passwordEncoder"/>
security:authentication-provider>
security:authentication-manager>
<bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>
beans>
3. 在web.xml中配置SpringSecurity
<context-param> <param-name>contextConfigLocationparam-name> <param-value>classpath*:applicationContext.xml,classpath*:spring-security.xmlparam-value> context-param> <filter> <filter-name>springSecurityFilterChainfilter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxyfilter-class> filter> <filter-mapping> <filter-name>springSecurityFilterChainfilter-name> <url-pattern>/*url-pattern> filter-mapping>
4.IUserService中继承UserDetailsService
public interface IUserService extends UserDetailsService{ }
5.在IUserService的实现类UserService中实现相应的方法
public class UserServiceImpl implements IUserService { //用户登陆 @Override public UserDetails loadUserByUsername(String username) { UserInfo userInfo = null; try { userInfo = userDao.findByUsername(username); } catch (Exception e) { e.printStackTrace(); } //创建springSecurity提供的User对象,把自己数据库中的用户(userInfo)对象封装到UserDetails的user中
//用户名、密码、用户状态（可用为1，不可用为0）、用户角色的集合。 User user = new User(userInfo.getUsername(),userInfo.getPassword(),userInfo.getStatus()==0?false:true,true,true,true,getAuthority(userInfo.getRoles())); return user; } //返回一个list集合，集合中装入角色描述 public ListgetAuthority(List roles){ List list=new ArrayList<>(); for(Role role:roles){ list.add(new SimpleGrantedAuthority("ROLE_"+role.getRoleName())); } return list; } }
四、服务器端方法级权限控制
1.Spring Security在方法的权限控制上 支持三种类型的注解：JSR-250注解、@Secured注解和支持表达式的注解；
2.JSR-250注解的使用：
1）需要在SpringSecurity.xml中开启注解
<security:global-method-security jsr250-annotations="enabled">security:global-method-security>
2）在需要加权限的方法上使用注解
* @RolesAllowed表示访问对应方法时必须具有具有的角色
//只有拥有ADMIN角色的用户才可以使用该方法 @RolesAllowed("ADMIN") public ModelAndView findAll() throws Exception { ..... }
3) 在pom.xml中导入依赖
<dependency> <groupId>javax.annotationgroupId> <artifactId>jsr250-apiartifactId> <version>1.0version> dependency>
3.@Secured注解（SpringSecurity本身提供的）
1）需要在SpringSecurity.xml中开启注解
<security:global-method-security secured-annotations="enabled">security:global-method-security>
2）在需要加权限的方法上使用注解
//只有拥有ADMIN角色的用户才可以使用该方法 @Secured("ROLE_ADMIN") public ModelAndView findAll() throws Exception { ..... }
注意：在使用JSR250注解时，可以省略POLRE_的前缀，而使用@Secured时不能省略前缀
4.支持表达式注解
1）需要在SpringSecurity.xml中开启注解
<security:global-method-security pre-post-annotations="enabled" jsr250-annotations="enabled" secured-annotations="enabled"/>
2）在需要加权限的方法上使用注解
//只用拥有ADMIN角色的用户才可以使用此方法的操作 @PreAuthorize("hasRole('ROLE_ADMIN')") public ModelAndView findAll() throws Exception { ........ } //只用用户名为tom的用户才可进行此操作 @PreAuthorize("authentication.principal.username == 'tom'") public String save() throws Exception { ........ }