初学Spring Security

前言

在以前学习javaweb的时候，做安全认证的时候可能会编写大量的过滤器、拦截器等，代码量相应繁琐。而Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

---

一、SpringSecurity是什么？

官网：Spring SecurityLevel up your Java code and explore what Spring can do for you.https://spring.io/projects/spring-security/

官方解释：

 

---

二、使用步骤

1.引入依赖：

代码如下（示例）：

        
            org.springframework.boot
            spring-boot-starter-security
        

        
            org.springframework.boot
            spring-boot-starter-thymeleaf
        

        
            org.springframework.boot
            spring-boot-starter-web
        

        
            org.thymeleaf.extras
            thymeleaf-extras-springsecurity5
        

        
            org.projectlombok
            lombok
            true
        

        
            org.springframework.boot
            spring-boot-starter-test
            test
        

        
            org.springframework.security
            spring-security-test
            test
        

    

---

2.接口开发：

package com.example.spbsecurity.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.PathVariable;
import org.springframework.web.bind.annotation.RequestMapping;

/**
 * @program: spb-security
 * @description:
 * @author: Mr.He
 * @create: 2022-09-23 
 **/
@Controller
public class RouterController {
    @RequestMapping({"/","/index"})
    public String index(){
        return "index";
    }

    @RequestMapping("toLogin")
    public String toLogin(){
        return "views/login";
    }

    @RequestMapping("toError")
    public String loginError(){
        return "views/error";
    }

    @RequestMapping("/level1/{id}")
    public String level1(@PathVariable("id") int id){
        return "views/level1/"+id;
    }
    @RequestMapping("/level2/{id}")
    public String level2(@PathVariable("id") int id){
        return "views/level2/"+id;
    }
    @RequestMapping("/level3/{id}")
    public String level3(@PathVariable("id") int id){
        return "views/level3/"+id;
    }
}

---

3.自定义SecurityConfig：

由于只是测试阶段，认证的时候就没有从数据库中读取数据，直接从内存中读取。有兴趣的话就可以自己测试下。

package com.example.spbsecurity.config;

import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

/**
 * @program: spb-security
 * @description:
 * @author: Mr.He
 * @create: 2022-09-23 
 **/
@EnableWebSecurity  //开启WebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    //======================授权=========================
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //请求授权规则
        http.authorizeHttpRequests()
                .antMatchers("/").permitAll() //首页所有人可访问
                // 配置自己的网址
                .antMatchers("/level1/**").hasRole("vip1")  //只有拥有vip1角色才能访问
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");

        //无权限跳转到登录页面
        http.formLogin()
                .loginPage("/toLogin") //跳转到自定义登录界面
//                //登陆访问路径：提交表单之后跳转的地址,可以看作一个中转站，这个步骤就是验证user的一个过程
                .loginProcessingUrl("/login")
                .failureUrl("/toError");  //登录失败页面
//                .usernameParameter("") 登录表单中参数
//                .passwordParameter("")
        http.rememberMe().rememberMeParameter("remember");//
        //关闭csrf
        http.csrf().disable();
        http.logout().logoutSuccessUrl("/"); //注销

    }

    //======================认证=========================
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 需要加密 否则会报There is no PasswordEncoder.the id “null”
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())
                .withUser("zz").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1","vip2")
                .and()
                .withUser("root").password(new BCryptPasswordEncoder().encode("root")).roles("vip1","vip2","vip3");
    }
}

---

4.部分前端代码：

如果是自己做测试的话，前端的页面自己随便可以写个简单页面都行。

例如：我的error页面就这样：

---

 index.html

    
    
    
    
    
    






    

        

            首页

            
            

                
                
                     登录
                

                
                     注销
                
                
            
        
    

    

        
Spring Security Study
    

    

        

        

            

                

                    

                        

                            
Level 1
                            

                            
 Level-1-1
                            
 Level-1-2
                            
 Level-1-3
                        
                    
                
            

            

                

                    

                        

                            
Level 2
                            

                            
 Level-2-1
                            
 Level-2-2
                            
 Level-2-3
                        
                    
                
            

            

                

                    

                        

                            
Level 3
                            

                            
 Level-3-1
                            
 Level-3-2
                            
 Level-3-3
                        
                    
                
            

        
    

---

login.html

    
    
    
    
    






    


        

            
登录
        

        

            

                

                    

                        

                            

                                Username
                                

                                    
                                    
                                
                            
                            

                                Password
                                

                                    
                                    
                                
                            
                           

                               记住我
                           
                            
                        
                    
                
            
        

        

            

                注册
            
            



        
        

            
Spring Security Study 
        
    

---

总结

对我而言，也是第一次接触SpringSecurity。当学了这些皮毛后，就能发现功能的确强大，代码量也是显著减少。最后，上述代码可能存在些许问题与不足，大佬勿怪。