Spring Security 认证与授权（二）

        让 Spring Security 适应系统，而非让系统适应 Spring Security，是 Spring Security 框架开发者和使用者的共识。

        下面我们将使用自定义数据库模型接入Spring Security，数据库依然是 MySQL ，持久层框架则选用 MyBatis（倾向于使用 JPA 的读者也可以自行选型，它们在 Spring Security 部分的实践是一样的）。旁枝末节的知识会点到即止，我们重点介绍 Spring Security 相关的内容，所以期望读者自行阅读相关资料，也可以选择暂时略过。

一、自定义数据库模型的认证和授权：

1、实现 UserDetails：

        在上一篇文章种我们使用了 InMemoryUserDetailsManager 和 JdbcUserDetailsManager 两个 UserDetailsService 实现类。生效方式也很简单，只需加入 Spring 的 IoC 容器，就会被 Spring Security 自动发现并使用。自定义数据库结构实际上也仅需实现一个自定义的 UserDetailsService。

        UserDetailsService 仅定义了一个 loadUserByUsername 方法，用于获取一个 UserDetails 对象。 UserDetails 对象包含了一系列在验证时会用到的信息，包括用户名、密码、权限以及其他信息，Spring Security 会根据这些信息判定验证是否成功。UserDetails 的源码内容如下所示：

public interface UserDetails extends Serializable {

    Collection getAuthorities();

    String getPassword();

    String getUsername();

    boolean isAccountNonExpired();

    boolean isAccountNonLocked();

    boolean isCredentialsNonExpired();

    boolean isEnabled();

}

        也就是说，不管数据库结构如何变化，只要能构造一个 UserDetails 即可，下面就来实现这个过程。

1.1 数据库准备：

        设计一个自定义的数据库结构。建表语句如下所示：

create table users(
	id bigint(20) not null auto_increment primary key,
	username varchar(50) not null,
	password varchar(60),
	enable tinyint(4) not null default '1' comment '用户是否可用',
	roles text character set utf8 comment '用户角色，多个用户角色用逗号隔开',
	KEY ‘username‘ (username)
);

        我们把用户信息和角色放在同一张表中，不再是 Spring Security 默认的分开形式。roles 字段设定为 text 类型，多个角色之间用逗号隔开。建议在 username 字段上建立索引，以提高搜索速度，表结构如下所示：

        接下来插入两条记录，方便我们后续的测试工作：

insert into users(username,password,roles) values ("admin","123","ROLE_ADMIN,ROLE_USER");
insert into users(username,password,roles) values ("user","123","ROLE_USER");

1.2 编码实现：

        当数据库结构和数据准备完毕时，即可编写对应的 User 实体。

public class User {

	private Long id;
	
	private String username;
	
	private String password;
	
	private String roles;
	
	private boolean enable;

    // setter getter
}

        让 User 实体继承 UserDetails，代码如下所示：

public class User implements UserDetails{

	private Long id;
	private String username;
	private String password;
	private String roles;
	private boolean enable;

	public Long getId() {
		return id;
	}
	public void setId(Long id) {
		this.id = id;
	}
	public String getUsername() {
		return username;
	}
	public void setUsername(String username) {
		this.username = username;
	}
	public String getPassword() {
		return password;
	}
	public void setPassword(String password) {
		this.password = password;
	}
	public String getRoles() {
		return roles;
	}
	public void setRoles(String roles) {
		this.roles = roles;
	}
	public boolean isEnable() {
		return enable;
	}
	public void setEnable(boolean enable) {
		this.enable = enable;
	}
	private List authorities;
	public void setAuthorities(List authorities) {
		this.authorities = authorities;
	}
	@Override
	public Collection getAuthorities() {
		// TODO Auto-generated method stub
		return this.authorities;
	}
	@Override
	public boolean isAccountNonExpired() {
		// TODO Auto-generated method stub
		return true;
	}
	@Override
	public boolean isAccountNonLocked() {
		// TODO Auto-generated method stub
		return true;
	}
	@Override
	public boolean isCredentialsNonExpired() {
		// TODO Auto-generated method stub
		return true;
	}
	@Override
	public boolean isEnabled() {
		// TODO Auto-generated method stub
		return this.enable;
	}
}

        这里需要实现 UserDetails 定义的几个方法，其中 isAccountNonExpired()、isAccountNonLocked() 和 isCredentialsNonExpired() 方法暂且用不到，统一返回 true，否则 Spring Security 会认为账号异常。isEnabled 对应 enable 字段，将其代入即可。getAuthorities() 方法本身对应的是 roles 字段，但由于结构不一致，所以此处新建一个，并在后续进行填充。

2、实现 UserDetailsService：

2.1 数据持久层准备：

        当准备好 UserDetails 之后，使用数据库持久层框架读取数据并填充对象。首先引入 MyBatis。

    org.mybatis.spring.boot
    mybatis-spring-boot-starter
    1.3.1

        前面在配置文件中曾写过数据库相关的配置，这里沿用即可。

spring.datasource.url = jdbc:mysql://localhost:3306/springDemo?useUnicode=true&characterEncoding=utf-8&useSSL=false
spring.datasource.username = root
spring.datasource.password = Rfid123456

        接下来在入口类中用 @MapperScan 指定 MyBatis 要扫描的映射文件目录。

@SpringBootApplication
@RestController
@MapperScan("com.mapper")
public class SpringDemoApplication {

	@GetMapping("/")
	public String hello() {
		return "hello spring security";
	}
	
	public static void main(String[] args) {
		SpringApplication.run(SpringDemoApplication.class,args);
	}
}

        当然，我们还需要在 com.mapper 下创建该目录，并编写对应的映射接口：

@Component
public interface UserMapper {

	@Select("SELECT * FROM  users where username=#{username}")
	User findByUserName(@Param("username") String username);
}

        与 MyBatis 相关的内容不再赘述，没有接触过且感兴趣的读者可以自行学习相关知识，这里仅提供一个通过用户名查找用户的方法。

2.2 编码实现：

        当数据持久层准备完成后，我们开始编写 UserDetailsService。

@Service
public class MyUserDetailsService implements UserDetailsService{

	@Autowired
	private UserMapper usermapper;
	
	@Override
	public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
		// 从数据库尝试读取该用户
		User user = usermapper.findByUserName(username);
		// 用户不存在，抛出异常
		if(user == null) {
			throw new UsernameNotFoundException("用户名不存在");
		}
		// 将数据库形式的 roles 解析为 UserDetails 的权限集
		// AuthorityUtils.commaSeparatedStringToAuthorityList() 是Spring Security 提供的
		// 该方法用于将逗号隔开的权限集字符串切割成可用权限对象列表
		// 当然也可以自己实现，如用分号来隔开等，参考下面的generateAuthorities()方法
		user.setAuthorities(AuthorityUtils.commaSeparatedStringToAuthorityList(user.getRoles()));
		return user;
	}

	// 自行实现权限的转移
	private List generateAuthorities(String roles){
		List list = new ArrayList<>();
		String [] roleArray = roles.split(";");
		if(roles != null && !"".equals(roles)) {
			for(String role:roleArray) {
				list.add(new SimpleGrantedAuthority(role));
			}
		}
		return list;
	}
}

        其中，SimpleGrantedAuthority 是 GrantedAuthority 的一个实现类。Spring Security 的权限几乎是用 SimpleGrantedAuthority 生成的，只要注意每种角色对应一个 GrantedAuthority 即可。另外，一定要在自己的 UserDetailsService 实现类上加入 @Service 注解，以便被 Spring Security 自动发现。

        至此，我们就实现了 Spring Security 的自定义数据库结构认证。有些读者可能会有疑问，为什么在数据库中的角色总是要添加 “ROLE” 前缀，在配置时却并没有 “ROLE” 前缀呢？

protected void configure(HttpSecurity http) throws Exception{
		http.authorizeRequests().
			antMatchers("/admin/api/**").hasRole("ADMIN").
			antMatchers("/user/api/**").hasRole("USER").
			antMatchers("/app/api/**").permitAll().
			anyRequest().authenticated().
		and().formLogin();
	}

        查看源码即可找到答案。

private static String hasRole(String role) {
		Assert.notNull(role, "role cannot be null");
		if (role.startsWith("ROLE_")) {
			throw new IllegalArgumentException(
					"role should not start with 'ROLE_' since it is automatically inserted. Got '"
							+ role + "'");
		}
		return "hasRole('ROLE_" + role + "')";
	}

        如果不希望匹配这个前缀，那么改为调用 hasAuthority() 方法即可。

2.3 效果测试：

        此时的 WebSecurityConfig 的代码如下所示：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter{

    protected void configure(HttpSecurity http) throws Exception{
		http.authorizeRequests().
			antMatchers("/admin/api/**").hasRole("ADMIN").
			antMatchers("/user/api/**").hasRole("USER").
			antMatchers("/app/api/**").permitAll().
			anyRequest().authenticated().
		and().formLogin();
	}
}

        启动程序，使用 user 账户登录 localhost:8080/user/api/hello ，可以正常登录，如下所示：

         使用 admin 账户登录 localhost:8080/admin/api/hello ，可以正常登录，如下所示：

         使用 user 账户登录 localhost:8080/admin/api/hello，无法正常登录，如下所示：