Spring Boot構建系統(tǒng)安全層的步驟
01 | Spring Security 架構及核心類
Spring Security 中的過濾器鏈
Spring Security 中采用的是管道-過濾器（Pipe-Filter）架構模式，這些過濾器鏈，構成了 Spring Security 的核心。如下圖所示：
項目一旦啟動，過濾器鏈將會實現自動配置，如下圖所示：
UsernamePasswordAuthenticationFilter 用來檢查輸入的用戶名和密碼，代碼如下：
public class UsernamePasswordAuthenticationFilter extends AbstractAuthenticationProcessingFilter {
public Authentication attemptAuthentication(HttpServletRequest request,
HttpServletResponse response)
throws AuthenticationException {
if (postOnly && !request.getMethod().equals("POST")) {
throw new AuthenticationServiceException(
"Authentication method not supported: " + request.getMethod());
}
String username = obtainUsername(request);
String password = obtainPassword(request);
if (username == null) {
username = "";
}
if (password == null) {
password = "";
}
username = username.trim();
UsernamePasswordAuthenticationToken authRequest =
new UsernamePasswordAuthenticationToken(username, password);
// Allow subclasses to set the "details" property
setDetails(request, authRequest);
return this.getAuthenticationManager().authenticate(authRequest);
}
…
}
BasicAuthenticationFilter 用來認證用戶的身份。
FilterSecurityInterceptor 用來判定該請求是否能夠訪問目標 HTTP 端點。
Spring Security 中的核心類
SecurityContextHolder 存儲了應用的安全上下文對象 SecurityContext，包含系統(tǒng)請求中最近使用的認證信息。
一個 HTTP 請求到達系統(tǒng)后，將通過一系列的 Filter 完成用戶認證，然后具體的工作交由 AuthenticationManager 完成，AuthenticationManager 成功驗證后會返回填充好的 Authentication 實例。
AuthenticationManager 是一個接口，其實現類 ProviderManager 會進一步依賴 AuthenticationProvider 接口完成具體的認證工作。
在 Spring Security 中存在一大批 AuthenticationProvider 接口的實現類，分別完成各種認證操作。在執(zhí)行具體的認證工作時，Spring Security 勢必會使用用戶詳細信息，UserDetailsService 服務就是用來對用戶詳細信息實現管理。
02 | 基于 Spring Security 構建用戶認證體系
在 Spring Boot 中整合 Spring Security 框架首先需要引入依賴：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
只要我們在代碼工程中添加了上述依賴，包含在該工程中的所有 HTTP 端點都將被保護起來。
在引入 spring-boot-starter-security 依賴之后，Spring Security 會默認創(chuàng)建一個用戶名為“user”的賬號。當我們訪問 AccountController 的 “accounts/{accountId}” 端點時，彈出如下界面：
同時，控制臺日志打印如下：
Using generated security password: 17bbf7c4-456a-48f5-a12e-a680066c8f80
因此，訪問該接口需要設置如下信息：
每次啟動應用時，通過 Spring Security 自動生成的密碼都會有所變化。如果我們想設置登錄賬號和密碼，可以在 application.yml 中配置如下：
spring:
security:
user:
name: springcss
password: springcss_password
配置 Spring Security
初始化用戶信息所依賴的配置類是 WebSecurityConfigurer 接口，在日常開發(fā)中，我們往往是使用 WebSecurityConfigurerAdapter 類并覆寫其中的 configure(AuthenticationManagerBuilder auth) 的方法完成配置工作。
使用 AuthenticationManagerBuilder 類創(chuàng)建一個 AuthenticationManager 就能夠輕松實現基于內存、LADP 和 JDBC 的驗證。初始化所使用的用戶信息只需要指定用戶名（Username）、密碼（Password）和角色（Role）這三項數據即可。
使用基于內存的用戶信息存儲方案
@Override
protected void configure(AuthenticationManagerBuilder builder) throws Exception {
builder.inMemoryAuthentication()
.withUser("springcss_user")
.password("password1")
// 或者使用.authorities("ROLE_USER")
.roles("USER")
.and()
.withUser("springcss_admin")
.password("password2")
.roles("USER", "ADMIN");
}
使用基于數據庫的用戶信息存儲方案
表結構如下：
create table users( username varchar_ignorecase(50) not null primary key, password varchar_ignorecase(500) not null, enabled boolean not null ); create table authorities ( username varchar_ignorecase(50) not null, authority varchar_ignorecase(50) not null, constraint fk_authorities_users foreign key(username) references users(username) ); create unique index ix_auth_username on authorities (username,authority);
Spring Security 的配置代碼如下：
@Autowired
DataSource dataSource;
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.jdbcAuthentication()
.dataSource(dataSource)
.usersByUsernameQuery("select username, password, enabled from Users where username=?")
.authoritiesByUsernameQuery("select username, authority from UserAuthorities where username=?")
.passwordEncoder(new BCryptPasswordEncoder());
}
實現定制化用戶認證方案
擴展 UserDetails
public class SpringCssUser implements UserDetails {
private static final long serialVersionUID = 1L;
private Long id;
private final String username;
private final String password;
private final String phoneNumber;
// 省略getter/setter
// 省略重寫方法
}
擴展 UserDetailsService
@Service
public class SpringCssUserDetailsService implements UserDetailsService {
@Autowired
private SpringCssUserRepository repository;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
SpringCssUser user = repository.findByUsername(username);
if (user != null) {
return user;
}
throw new UsernameNotFoundException("SpringCSS User '" + username + "' not found");
}
}
整合定制化配置
@Configuration
public class SpringCssSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
SpringCssUserDetailsService springCssUserDetailsService;
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(springCssUserDetailsService);
}
}
03 | 基于 Spring Security 實現安全訪問
在日常開發(fā)過程中，我們需要對 Web 應用中的不同 HTTP 端點進行不同粒度的權限控制。
對 HTTP 端點進行訪問授權管理
使用配置方法
配置方法也是位于 WebSecurityConfigurerAdapter 類中，但使用的是 configure(HttpSecurity http) 方法，如下代碼所示：
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
// 所有請求都需要認證
.anyRequest()
// 允許認證用戶訪問
.authenticated()
.and()
// 需要使用表單進行登錄
.formLogin()
.and()
// 使用 HTTP Basic Authentication 方法完成認證
.httpBasic();
}
Spring Security 還提供了一個 access() 方法，允許開發(fā)人員傳入一個表達式進行更細粒度的權限控制，這里，我們將引入Spring 框架提供的一種動態(tài)表達式語言—— SpEL（Spring Expression Language 的簡稱）。
只要 SpEL 表達式的返回值為 true，access() 方法就允許用戶訪問，如下代碼所示：
@Override
public void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers("/orders")
.access("hasRole('ROLE_USER')");
}
使用注解
Spring Security 提供了 @PreAuthorize 注解也可以實現類似的效果，使用該注解代碼如下所示：
@RestController
@RequestMapping(value="orders")
public class OrderController {
@PostMapping(value = "/")
@PreAuthorize("hasRole(ROLE_ADMIN)")
public void addOrder(@RequestBody Order order) {
…
}
}
@PostAuthorize 主要用于請求結束之后檢查權限。
實現多維度訪問授權方案
使用用戶級別保護服務訪問
該級別是最基本的資源保護級別，只要是認證用戶就可能訪問服務內的各種資源。
@Configuration
public class SpringCssSecurityConfig extends WebSecurityConfigurerAdapter {
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.anyRequest()
.authenticated();
}
}
使用用戶+角色級別保護服務訪問
該級別在認證用戶級別的基礎上，還要求用戶屬于某一個或多個特定角色。
@Configuration
public class SpringCssSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
public void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers("/customers/**")
.hasRole("ADMIN")
.anyRequest()
.authenticated();
}
}
上述代碼表示只有"ADMIN"角色的認證用戶才能訪問以"/customers/"為根地址的所有 URL。
使用用戶+角色+操作級別保護服務訪問
該級別在認證用戶+角色級別的基礎上，對某些 HTTP 操作方法做了訪問限制。
@Configuration
public class SpringCssSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
public void configure(HttpSecurity http) throws Exception{
http.authorizeRequests()
.antMatchers(HttpMethod.DELETE, "/customers/**")
.hasRole("ADMIN")
.anyRequest()
.authenticated();
}
}
上述代碼的效果在于對“/customers”端點執(zhí)行刪除操作時，我們需要使用具有“ADMIN”角色的“springcss_admin”用戶，否則會出現“access_denied”錯誤信息。
以上就是Spring Boot構建系統(tǒng)安全層的步驟的詳細內容，更多關于Spring Boot構建系統(tǒng)安全層的資料請關注腳本之家其它相關文章！
- Docker?快速部署Springboot項目超詳細最新版
- IDEA Spring Boot 自動化構建+部署的實現
- SpringBoot集成Swagger2構建在線API文檔的代碼詳解
- SpringBoot集成Swagger構建api文檔的操作
- Spring Boot 2.4 新特性之一鍵構建Docker鏡像的過程詳解
- Spring Boot 使用 Swagger 構建 RestAPI 接口文檔
- IDEA使用Gradle構建SpringBoot項目工程的詳細教程
- springboot-2.3.x最新版源碼閱讀環(huán)境搭建(基于gradle構建)
- 基于SpringBoot構建電商秒殺項目代碼實例
- Spring Boot2如何構建可部署的war包
相關文章
本文主要介紹了Springboot日志配置的實現示例,使用slf4j和logback的方式記錄日志,文中通過示例代碼介紹的非常詳細,對大家的學習或者工作具有一定的參考學習價值,需要的朋友們下面隨著小編來一起學習學習吧2024-08-08
這篇文章主要介紹了Java多線程中常見的幾個問題 ,需要的朋友可以參考下2015-05-05
spring mvc使用@InitBinder標簽對表單數據綁定的方法
這篇文章主要介紹了spring mvc使用@InitBinder標簽對表單數據綁定的方法,小編覺得挺不錯的，現在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2018-03-03
MAC 系統(tǒng)如何使用 Sublime Text 2 直接編譯運行 java 代碼
這篇文章主要介紹了MAC 系統(tǒng)如何使用 Sublime Text 2 直接編譯運行 java 代碼,需要的朋友可以參考下2014-10-10
SpringBoot整合log4j日志與HashMap的底層原理解析
這篇文章主要介紹了SpringBoot整合log4j日志與HashMap的底層原理,本文給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下2021-01-01
http調用controller方法時openfeign執(zhí)行流程
這篇文章主要為大家介紹了http調用controller方法時openfeign執(zhí)行流程，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步，早日升職加薪2023-07-07
springboot實現郵箱發(fā)送(激活碼)功能的示例代碼
這篇文章主要為大家詳細介紹了如何利用springboot實現郵箱發(fā)送(激活碼)功能,文中的示例代碼簡潔易懂,有需要的小伙伴可以跟隨小編一起學習一下2023-10-10
這篇文章主要介紹了Java特性隊列和棧的堵塞原理解析,文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下2020-10-10
本文介紹了Java Servlet中Response對象的使用方法，包括設置響應頭、設置響應編碼、向客戶端發(fā)送數據、重定向等操作，同時介紹了常用的響應狀態(tài)碼和響應類型，幫助讀者更好地理解和掌握Servlet中Response對象的用法2023-05-05
以下為大家介紹如何用struts調用支付寶接口的例子。2013-04-04