让Spring Security 来保护你的Spring Boot项目吧

参考资料：

Spring Security 简介

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

配置类大概讲解

当Spring Securiy 还是Acegi Security的时候，使用就需要大量的xml配置，典型的Acegi配置有几百行xml是很常见的。

到了2.0版本，Acegi Security 更名为Spring Security。不仅名字换了，还引入了一个全新的、与安全性相关的xml命名空间。使得xml配置从几百行减少到十几行

Spring Security 3.0融入SpEL 进一步简化了安全性的配置。

Spring Security 5.0 今年刚发布

这里不介绍xml的配置，只讲述java配置（官方说这种方式最简洁）

开始之前加入依赖：

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

扩展WebSecurityConfigurerAdapter类

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {


    //身份验证管理生成器
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    }
    //HTTP请求安全处理
    @Override
    protected void configure(HttpSecurity http) throws Exception {

    }
    //WEB安全
    @Override
    public void configure(WebSecurity web) throws Exception {
    }

学习一门新知识的最好的方法就是看源码，按住ctrl 移动鼠标到WebSecurityConfigurerAdapter点击查看源码。

我们首先介绍

//身份验证管理生成器
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    }

的重写。

选择查询用户详细信息的服务

@Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //1.启用内存用户存储
//        auth.inMemoryAuthentication()
//                .withUser("xfy").password(passwordEncoder().encode("1234")).roles("ADMIN").and()
//                .withUser("tom").password(passwordEncoder().encode("1234")).roles("USER");
        //2.基于数据库表进行验证
//        auth.jdbcAuthentication().dataSource(dataSource)
//                .usersByUsernameQuery("select username,password,enabled from user where username = ?")
//                .authoritiesByUsernameQuery("select username,rolename from role where username=?")
//                .passwordEncoder(passwordEncoder());
        //3.配置自定义的用户服务
        auth.userDetailsService(myUserDetailService);
    }

启用内存用户处理和基于数据库表验证都要完全依赖于框架本身的验证逻辑。本人推荐第三种配置自定义的用户服务。

实现security官方的UserDetailsService

源码：

package org.springframework.security.core.userdetails;

public interface UserDetailsService {
    UserDetails loadUserByUsername(String var1) throws UsernameNotFoundException;
}

自己创建实现类

import com.young.security.mysecurity.pojo.Role;
import com.young.security.mysecurity.pojo.User;
import com.young.security.mysecurity.repository.RoleRepository;
import com.young.security.mysecurity.repository.UserRepository;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.AuthenticationCredentialsNotFoundException;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Component;

import java.util.ArrayList;
import java.util.List;

/**
 * Create by stefan
 * Date on 2018-05-17  22:49
 * Convertion over Configuration!
 */
@Component
@Slf4j
public class MyUserDetailService implements UserDetailsService {
    @Autowired
    private PasswordEncoder passwordEncoder;
    @Autowired
    UserRepository userRepository;
    @Autowired
    private RoleRepository roleRepository;
    @Override
    public UserDetails loadUserByUsername(String name) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(name);
        if (user==null){
            throw new AuthenticationCredentialsNotFoundException("authError");
        }
        log.info("{}",user);
        List<Role> role = roleRepository.findByUsername(name);
        log.info("{}",role);
        List<GrantedAuthority> authorities = new ArrayList<>();
        role.forEach(role1 -> authorities.addAll(AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_"+role1.getRolename())));
        log.info("{}",authorities);
        return new org.springframework.security.core.userdetails.User(user.getUsername(),user.getPassword(),authorities);
    }
}

任何关于数据库的业务这里不做解释。详情请看源码。

需要注意的是 Security默认使用了密码加密保护，我们配置密码转换器申明使用什么加密方式。这里推荐BCryptPassword，同样是5.0的推荐。

在刚才配置类SecurityConfig中配置

    @Bean
    public static PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

查看源码encode()这个方法是加密，matches()是判断加密密码与输入框明文密码是否一致。

拦截请求

接下来，我们看看

 @Override
       protected void configure(HttpSecurity http){
            super.configure(http);
       }

默认配置是

protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .and()
        .httpBasic();
}

自己修改后的配置

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin().loginPage("/signIn").loginProcessingUrl("/user/userLogin")
                .and()
                .logout().logoutUrl("/logout")
                .and()
                .authorizeRequests()
                .antMatchers("/signIn","/hello").permitAll()
                .antMatchers("/index").authenticated()
                .antMatchers("/admin/**","/add").hasRole("ADMIN")
                .regexMatchers("/admin1/.*").access("hasRole('ADMIN') or hasRole('ADMIN1')")
                .anyRequest().authenticated()
                .and()
                .requiresChannel().antMatchers("/add").requiresSecure()//https://127.0.0.1:8443/add
                .and()
                .rememberMe().tokenValiditySeconds(2419200).tokenRepository(persistentTokenRepository());

    }

spring security 的拦截语法

我们首先调用authorizeRequests(),然后调用该方法所返回的对象的方法来配置请求级别的安全性细节。

antMatchers的使用（Ant风格的通配符）：

指定一个路径
antMatchers("/index")

指定多个路径
antMatchers("/admin/**","/add")

指定请求方式
antMatchers(HttpMethod.POST,"/add")

与之相似的还有一个regexMatchers，接收正则表达式来定义请求路径。

regexMatchers("/admin1/.*")

路径选择好之后我们就要保护路径了。如下表：

image

注意：这些规则是按配置的先后顺序发挥作用的，所以将具体的请求路径放在前面，而越来越不具体的放在后面，如果不这样的话，不具体的路径配置会覆盖掉更为具体的路径配置。

使用spring 表达式进行安全保护

hasRole()一次仅仅只能限制角色，倘若我们还要同时限制ip地址的权限不好配置了。
这里我们可以使用SpEL 作为声明访问限制的一种，具体使用如下

.regexMatchers("/admin1/.*").access("hasRole('ADMIN') or hasRole('ADMIN1')")

显然access()这种方式更为强大。

强制通道的安全性

现在大部分网路传输都用HTTPS,
将请求变为HTTPS很简单

.requiresChannel().antMatchers("/add").requiresSecure()//https://127.0.0.1:8443/add

当请求http://127.0.0.1:8080/add，security会自动跳转到https://127.0.0.1:8443/add进行加密请求。

防止跨站请求伪造

从Security3.2开始，默认就会启用CSPF防护。可以关闭，也可以在表单中做一些改动。

.csrf().disable()  禁用CSRF防护功能。

为了安全，本人建议启用CSRF防护，在表单中做改动。也很简单在表单中加一个<input>

在freemarker页面form表单中添加

 <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>

更具体关于CSRF的知识请自行查找资料。

认证用户

添加自定义的登录页

security默认是提供了一个登陆页面，但是并不能满足我们的要求。我们可以自定义登陆页。

.formLogin().loginPage("/signIn").loginProcessingUrl("/user/userLogin")

对应视图页面：

<html>
<head>
    <meta charset="UTF-8"/>
    <title>login</title>
</head>
<body>
<form action="/user/userLogin" method="post">
    username:<input type="text" name="username"/><br/>
    password:<input type="password" name="password"/><br/>
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
    <input type="submit" value="登录">
    <input name="remember-me" type="checkbox">
</form>
</body>
</html>

/user/userLogin这个路由的controller我们无需定义。

启用Remember-me 功能

示例：

//存在cookie，并限定过期时间
 .rememberMe().tokenValiditySeconds(2419200)

记住功能，我们可以把用户信息存在cookie，也可以存在数据库。

要想存在数据库，如下配置，

.rememberMe().tokenValiditySeconds(2419200).tokenRepository(persistentTokenRepository());

@Bean
    public PersistentTokenRepository persistentTokenRepository() {
        JdbcTokenRepositoryImpl tokenRepository = new JdbcTokenRepositoryImpl();
        tokenRepository.setDataSource(dataSource);
        //tokenRepository.setCreateTableOnStartup(true);
        return tokenRepository;
    }

第一次运行
tokenRepository.setCreateTableOnStartup(true);会在数据库自动建立一张表，再次运行时请注释掉，否则会报错。

image

要想启动Remember-me功能还需要在登录表单中改动

<input name="remember-me" type="checkbox">记住我

name="remember-me"是固定的。

当然也可以不需要改动前端页面，可以在配置类直接开启记住功能(.alwaysRemember(true))，强制让用户记住。

.rememberMe().tokenValiditySeconds(2419200).tokenRepository(persistentTokenRepository()).alwaysRemember(true);

退出

 .logout().logoutSuccessUrl("/signIn")

开启csrf防护的logout默认是post请求。

<form action="/logout" method="post">
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
    <input type="submit" value="注销"/>
</form>

保护视图

为了测试视图保护标签，不得不换了Thymeleaf ,毕竟人家是官方认可的，freemarker虽然好用但是毕竟是屌丝出身，虽说能用jsp的标签库，但是搜集了很多资料依然没弄明白怎么配置，只好用Thymeleaf。

使用Thymeleaf的Spring Security方言

书上还给了一个配置bean 声明SringTemplateEnginebean。但是我试验了，不用配置也可以。

只需两步：
导入依赖：

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>

        <dependency>
            <groupId>org.thymeleaf.extras</groupId>
            <artifactId>thymeleaf-extras-springsecurity4</artifactId>
        </dependency>

第二步：
声明使用 sec标签

<html xmlns:th="http://www.thymeleaf.org" xmlns:sec="http://www.thymeleaf.org/extras/spring-security">

示例：

<div sec:authorize="isAuthenticated()"> <!--sec:authorize属性会接受一个SpEL表达式  isAuthenticated() 只有用户已经进行认证了，才会渲染出内容。 -->
    hello <span sec:authentication="name">someone</span> !
</div>
<form th:action="@{/logout}" method="post">
    <input type="submit" value="注销"/>
</form>

<div sec:authorize="hasRole('ADMIN')">
    会员admin可见
</div>

<div sec:authorize="hasRole('ADMIN') or hasRole('ADMIN1')">
    会员admin\ADMIN1可见
</div>

<span sec:authorize-url="/admin/center">
    <a th:href="@{/admin/center}">admin中心</a>
</span>

<span sec:authorize-url="/admin1/index">
    <a th:href="@{/admin1/index}">admin1中心</a>
</span>

用途显而易见，这里就不讲了。

注解保护方式

为了更好的保护我们的应用，注解保护方法也是必要的。

Spring Security提供了三种不同的安全注解：

Spring Security 自带的@Secured 注解；
JSR-250的@RolesAllowed注解
表达式驱动的注解，包括@PreAuthorize、@PostAuthorize、@PreFilter、@PostFilter

@Secured与@RolesAllowed注解使用基本类似，能够基于用户所授予的权限限制对方法的访问。

使用这些注解前先要开启相应注解，可同时开启

在配置类上加一个注解

@EnableGlobalMethodSecurity(securedEnabled = true,jsr250Enabled = true,prePostEnabled = true)

@Secured({"ADMIN","ADMIN1"})
@RolesAllowed({"ADMIN","ADMIN1"})

使用方式相似，RolesAllowed更正式

@PreAuthorize("hasRole('ADMIN') AND hasRole('ADMIN1')")  的string参数是一个SpEL表达式
@PreAuthorize("hasRole('ADMIN') and #user.username.length() <=6") 可获得参数
@PostAuthorize("returnObject.username == principal.username")  可获得返回值

过滤方法

@PostFilter("hasRole('ADMIN') || filterObject.username == principal.username")   这个可直接获得方法的返回值列表的单个元素filterObject，不需要加#
@PreFilter("hasRole('ADMIN') || #filterObject.endsWith('admin')")  加#filterObject可获得传入参数列表的单个元素

项目源码：

码云：潇潇漓燃 / springboot_springsecurity

学习建议：

Spring Security的参考资料很难找，上述是我找到的比较全，比较好的资料。

笔记做的很简陋，怕是只有我自己能看的下去，仅供参考。

Spring Security 的用途远不止这些，还没做第三方登录的整合，各方面都是皮毛总结。

学任何一个新知识还需自己悟，慢慢啃。

最后编辑于：2018.09.27 16:11:22

人面猴
序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
沈念sama阅读 206,482评论 6赞 481
死咒
序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
沈念sama阅读 88,377评论 2赞 382
救了他两次的神仙让他今天三更去死
文/潘晓璐我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
开封第一讲书人阅读 152,762评论 0赞 342
道士缉凶录：失踪的卖姜人
文/不坏的土叔我叫张陵，是天一观的道长。经常有香客问我，道长，这世上最难降的妖魔是什么？我笑而不...
开封第一讲书人阅读 55,273评论 1赞 279
港岛之恋（遗憾婚礼）
正文为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
茶点故事阅读 64,289评论 5赞 373
恶毒庶女顶嫁案：这布局不是一般人想出来的
文/花漫我一把揭开白布。她就那样静静地躺着，像睡着了一般。火红的嫁衣衬着肌肤如雪。梳的纹丝不乱的头发上，一...
开封第一讲书人阅读 49,046评论 1赞 285
城市分裂传说
那天，我揣着相机与录音，去河边找鬼。笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。我是一名探鬼主播，决...
沈念sama阅读 38,351评论 3赞 400
双鸳鸯连环套：你想象不到人心有多黑
文/苍兰香墨我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
开封第一讲书人阅读 36,988评论 0赞 259
万荣杀人案实录
序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
沈念sama阅读 43,476评论 1赞 300
护林员之死
正文独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋以下内容为张勋视角年9月15日...
茶点故事阅读 35,948评论 2赞 324
白月光启示录
正文我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
茶点故事阅读 38,064评论 1赞 333
活死人
序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
沈念sama阅读 33,712评论 4赞 323
日本核电站爆炸内幕
正文年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
茶点故事阅读 39,261评论 3赞 307
男人毒药：我在死后第九天来索命
文/蒙蒙一、第九天我趴在偏房一处隐蔽的房顶上张望。院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
开封第一讲书人阅读 30,264评论 0赞 19
一桩弑父案，背后竟有这般阴谋
文/苍兰香墨我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。一阵脚步声响...
开封第一讲书人阅读 31,486评论 1赞 262
情欲美人皮
我被黑心中介骗来泰国打工，没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。一个月前我还...
沈念sama阅读 45,511评论 2赞 354
代替公主和亲
正文我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
茶点故事阅读 42,802评论 2赞 345