权限管理 【SpringSecurity篇】

2019-10-09  本文已影响0人  何甜甜在吗

只要和用户打交道的系统基本都需要进行权限管理，不然哪一天操作不当给你删库了怎么办。开源的权限管理框架有SpringSecurity、Shiro，权限管理模型有RBAC、ACL等，是选择开源框架好还是基于权限管理模型造轮子好，必须都调研一下选一个适合公司业务的实现方式，首先先调研学习一波SpringSecurity

通过本篇文章你将了解到

SpringSecurity核心类

因为对SpringSecurity只是调研性的学习，所以这里并不会对源码进行介绍。权限管理就是授权、鉴权，要想鉴权必须首先登陆拿到用户信息，但是这里也不会去讲登陆、登出以及分布式session管理，只会介绍一下鉴权过程中的核心类，了解一下核心类可以快速整合SpringSecurity框架。

登陆校验

小结：登陆验证就是拿到客户端的用户名密码和我们设定的用户名密码（即UserDetails的实现类）进行比对，拿到我们设定的用户名密码是通过UserDetailsService.loadUserByUsername(String userName)实现的[划重点，一会要考]，框架实现的UserDetailsService一般没法满足项目要求，就需要自己手动实现了，同时如果框架自带的UserDetails的实现类没法满足要求我们也可以自己实现UserDetails

权限校验

小结：一般不自定鉴权方式的话这些我们都可以不需要管，虽然层层调用了很多层，其实实质就是判断当前的用户所包含的权限列表中是否包含访问指定url所需要的权限

SpringBoot整合SpringSecurity

依赖
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
    <version>1.4.1.RELEASE</version>
</dependency>
UserDetails实现类：UserDTO.java
public class UserDTO implements UserDetails {
    /**
     * 用户名
     * */
    private String username;

    /**
     * 密码
     * */
    private String password;

    /**
     * 角色列表
     * */
    private List<String> roleList;

    public void setUsername(String username) {
        this.username = username;
    }

    public void setPassword(String password) {
        this.password = password;
    }

    public List<String> getRoleList() {
        return roleList;
    }

    public void setRoleList(List<String> roleList) {
        this.roleList = roleList;
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        List<GrantedAuthority> authorityList = new ArrayList<>();
        for (String role : roleList) {
            authorityList.add(new SimpleGrantedAuthority(role));
        }

        return authorityList;
    }

    @Override
    public String getPassword() {
        return password;
    }

    @Override
    public String getUsername() {
        return username;
    }

    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }
}

实现类需要实现接口，这里我们将查询到的roleList字符串封装到SimpleGrantedAuthority中，SimpleGrantedAuthority是GrantedAuthority的一个实现类，如果默认实现没法满足需求可自己重新实现。UserDetail是SpringSecurity和应用之间的桥梁，不管你数据库怎么建，只要你最后将用户信息和权限的关系封装为UserDetails，SpringSecurity就可以按它自己的机制进行权限校验

UserDetailsService实现类：UserDetailsServiceImpl.java
public class UserDetailsServiceImpl implements UserDetailsService {
    @Resource
    private UsersService usersService;

    /**
     * 根据用户名获取用户信息
     */
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        Users users = new Users();
        users.setUsername(username);
        List<Users> usersList = usersService.selectList(users);

        return buildUserDTO(usersList);
    }

    /**
     * 封装UserDTO对象
     *
     * @param usersList
     * @return
     * */
    private UserDTO buildUserDTO(List<Users> usersList) {
        UserDTO userDTO = new UserDTO();
        userDTO.setUsername(usersList.get(0).getUsername());
        userDTO.setPassword(usersList.get(0).getPassword());
        List<String> roleList = new ArrayList<>();
        for (Users users : usersList) {
            roleList.add(String.format("ROLE_%s", users.getRole()));
        }

        userDTO.setRoleList(roleList);
        return userDTO;
    }
}

该类作用就是将用户信息和权限信息从数据库查找到封装为一个UserDetails返回

权限配置类：WebSecurityConfig.java
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true) // 开启方法级安全验证
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private UserDetailsServiceImpl userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest().authenticated() //任何请求,登录后可以访问
                .and().formLogin().permitAll(); //登录页面用户任意访问

        // 关闭CSRF跨域
        http.csrf().disable();
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        // 设置拦截忽略文件夹，可以对静态资源放行
        web.ignoring().antMatchers("/css/**", "/js/**", "/templates/**");
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //1.设置自定义userDetailService
        //2.校验时指定密码解码方式
        auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());
    }
}

这个类里配置了登陆页面以及一些简单权限设置，比如任何请求登陆后可访问、登录页面所有人可以访问。因为通过@EnableGlobalMethodSecurity注解开启了方法级别验证，在这个方法里没有配置方法级别的权限。同时通过指定自己实现的UserDetailsService以及密码解码方式，如果不指定密码解码方式将会报错在最新的SpringSecurity版本中

控制层注解使用方式

@RestController
@RequestMapping("/api/user")
public class UsersController {
    @GetMapping("/guest")
    @PreAuthorize("hasAnyRole('guest')")
    public Object guest() {
        return "hello guest";
    }

    @PreAuthorize("hasAnyRole('admin')")
    @GetMapping("/admin")
    public Object admin() {
        return "hello admin";
    }
}

通过@PreAuthorize来进行权限控制，在hasAnyRole中写入访问该api具有的权限（角色），除了可以使用@PreAuthorize注解，还可以使用@Secured、@PostAuthorize注解

SpringSecurity框架的不足

最后附：项目源码

上一篇下一篇

猜你喜欢

热点阅读