Java Spring Security认证与授权及注销和权限控制篇综合解析

Spring Security 是 Spring 家族中的一个安全管理框架，实际上，在 Spring Boot 出现之前，Spring Security 就已经发展了多年了，但是使用的并不多，安全管理这个领域，一直是 Shiro 的天下

Spring Security简介：

Spring Security 是针对Spring项目的安全框架，也是Spring Boot底层安全模块默认的技术选型，它可以实现强大的Web安全控制，对于安全控制，我们只需要引入 spring-boot-starter-security 模块，进行少量的配置，即可实现强大的安全管理！

记住几个类：

WebSecurityConfigurerAdapter：自定义Security策略
AuthenticationManagerBuilder：自定义认证策略
@EnableWebSecurity：开启WebSecurity模式

Spring Security的两个主要目标是 “认证” 和 “授权”（访问控制）。

“认证”（Authentication）

身份验证是关于验证您的凭据，如用户名/用户ID和密码，以验证您的身份。

身份验证通常通过用户名和密码完成，有时与身份验证因素结合使用。

“授权” （Authorization）

授权发生在系统成功验证您的身份后，最终会授予您访问资源（如信息，文件，数据库，资金，位置，几乎任何内容）的完全权限。

这个概念是通用的，而不是只在Spring Security 中存在。

Spring Security 框架对于认证和授权很好的支持。在用户认证方面，Spring Security 框架支持主流的认证方式，包括 HTTP 基本认证、HTTP 表单验证、HTTP 摘要认证、OpenID 和 LDAP 等。在用户授权方面，Spring Security 提供了基于角色的访问控制和访问控制列表（Access Control List，ACL），可以对应用中的领域对象进行细粒度的控制。

下面是spring security官网：Spring Security 找到对应的官方文档：Spring Security Reference

Java Spring Security认证与授权及注销和权限控制篇综合解析

实验环境搭建：

1.新建一个初始的springboot项目web模块，thymeleaf模块

2.导入静态资源

Java Spring Security认证与授权及注销和权限控制篇综合解析

3、controller跳转！

Java Spring Security认证与授权及注销和权限控制篇综合解析

4、测试实验环境是否成功

认证和授权

我们测试的环境，是谁都可以访问，现在我们使用 Spring Security 增加上认证和授权的功能

1、引入 Spring Security 模块

<dependency>
 <groupId>org.springframework.boot</groupId>
 <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2、编写 Spring Security 配置类

参考对应的官方文档：Spring Security Reference

Java Spring Security认证与授权及注销和权限控制篇综合解析

3、编写基础配置类

@EnableWebSecurity // 开启WebSecurity模式
public class SecurityConfig extends WebSecurityConfigurerAdapter {

 @Override
 protected void configure(HttpSecurity http) throws Exception {
     
}
}

4.定义授权的规则:

在配置类中看授权的源码:

Java Spring Security认证与授权及注销和权限控制篇综合解析

5、测试，发现除了首页都进不去了！因为我们目前没有登录的角色，因为请求需要登录的角色拥有对应的权限才可以！

6、在configure()方法中加入以下配置，开启自动配置的登录功能！

从源码解释中看

Java Spring Security认证与授权及注销和权限控制篇综合解析

// 开启自动配置的登录功能
// /login 请求来到登录页
// /login?error 重定向到这里表示登录失败
http.formLogin();

7、测试一下：发现，没有权限的时候，会跳转到登录的页面！

Java Spring Security认证与授权及注销和权限控制篇综合解析

8、查看刚才登录页的注释信息；

我们可以定义认证规则，从源码中查看

Java Spring Security认证与授权及注销和权限控制篇综合解析

重写configure(AuthenticationManagerBuilder auth)方法

//定义认证规则
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
 
 //在内存中定义，也可以在jdbc中去拿....
 auth.inMemoryAuthentication()
        .withUser("kuangshen").password("123456").roles("vip2","vip3")
        .and()
        .withUser("root").password("123456").roles("vip1","vip2","vip3")
        .and()
        .withUser("guest").password("123456").roles("vip1","vip2");
}

9、测试，我们可以使用这些账号登录进行测试！发现会报错！

There is no PasswordEncoder mapped for the id “null”

10、原因，我们要将前端传过来的密码进行某种方式加密，否则就无法登录，修改代码

Java Spring Security认证与授权及注销和权限控制篇综合解析

11、测试，登录成功，并且每个角色只能访问自己认证下的规则

权限控制和注销

1、开启自动配置的注销的功能

Java Spring Security认证与授权及注销和权限控制篇综合解析

2、在前端，增加一个注销的按钮，index.html 导航栏中

<a class="item" th:href="@{/logout}" rel="external nofollow" >
 <i class="sign-out icon"></i> 注销
</a>

3、可以去测试一下，登录成功后点击注销，发现注销完毕会跳转到登录页面！

4、但是，我们想让他注销成功后，依旧可以跳转到首页，该怎么处理呢？

// .logoutSuccessUrl("/"); 注销成功来到首页
http.logout().logoutSuccessUrl("/");

5、测试，注销完毕后，发现跳转到首页OK

6、现在来一个需求：用户没有登录的时候，导航栏上只显示登录按钮，用户登录之后，导航栏可以显示登录的用户信息及注销按钮！还有就是，比如longdi这个用户，它只有 vip2，vip3功能，那么登录则只显示这两个功能，而vip1的功能菜单不显示！这个就是真实的网站情况了！

我们需要结合thymeleaf中的一些功能

sec：authorize="isAuthenticated()":是否认证登录！来显示不同的页面

Maven依赖：

<dependency>
 <groupId>org.thymeleaf.extras</groupId>
 <artifactId>thymeleaf-extras-springsecurity5</artifactId>
 <version>3.0.4.RELEASE</version>
</dependency>

7、修改我们的前端页面

导入命名空间 xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5"

修改导航栏，增加认证判断

8、重启测试，可以登录试试看，登录成功后确实，显示了我们想要的页面；

9、如果注销404了，就是因为它默认防止csrf跨站请求伪造，因为会产生安全问题，可以将请求改为post表单提交，或者在spring security中关闭csrf功能；试试在配置中增加

Java Spring Security认证与授权及注销和权限控制篇综合解析