2023-09-19
原文作者:墨家巨子@俏如来 原文地址: https://blog.csdn.net/u014494148/article/details/109253386

自定义登录

在SpringSecurity的整个认证流程中,除了UserDetailsService需要我们自己定义外,其他的的组件都可以使用默认的,因为UserDetailsService是SpringSecurity获取数据库中的认证信息的媒介,而如何才能从数据库中获取认证信息只有我们才知道。在入门案例中我们使用的是InMemoryUserDetailsManager 基于内存的UserDetailsService方案,接下来我们需要把基于内存的方案修改为基于数据库的方案。

1.定义密码编码器

在我们的案例中,密码一值是明文的,我们指定的密码编码器是 NoOpPasswordEncoder ,这个是不加密的,但是在生产环境中我们数据库中的密码肯定是密文,所以我们需要指定密码的编码器,那么SpringSecurity在认证时会调用我们指定的密码编码器进行认证

BCryptPasswordEncoder

BCryptPasswordEncoder是SpringSecurity内部提供的编码器,他的好处在于多次对相 同的明文加密出来的密文是不一致的,但是多次加密出来的不同密文确有能检查通过, 这种方式增加了密码的安全性,测试代码如下:

    public class PasswordTest {
        @Test
        public void testPassword(){
            BCryptPasswordEncoder bCryptPasswordEncoder = new BCryptPasswordEncoder();
            String enPass = bCryptPasswordEncoder.encode("123");
            System.out.println(enPass);
            System.out.println(bCryptPasswordEncoder.matches("123", enPass));
        }
    }

在配置类中定义编码器如下:

    @Bean
    public PasswordEncoder passwordEncoder(){
        //return NoOpPasswordEncoder.getInstance();
        return new BCryptPasswordEncoder();
    }

2.MyBatis集成

1.导入依赖
     <dependency>
                <groupId>com.alibaba</groupId>
                <artifactId>druid</artifactId>
                <version>1.1.20</version>
            </dependency>
            <!-- mysql 数据库驱动. -->
            <dependency>
                <groupId>mysql</groupId>
                <artifactId>mysql-connector-java</artifactId>
            </dependency>
            <dependency>
                <groupId>org.mybatis.spring.boot</groupId>
                <artifactId>mybatis-spring-boot-starter</artifactId>
                <version>1.1.1</version>
            </dependency>
2.配置MyBatis
    spring:
      datasource:
        url: jdbc:mysql:///auth-rbac
        username: root
        password: admin
        driver-class-name: com.mysql.jdbc.Driver
        type: com.alibaba.druid.pool.DruidDataSource
    mybatis:
      mapper-locations: classpath:cn/itsource/rbac/mapper/*Mapper.xml
3.主启动类
    @SpringBootApplication
    @MapperScan("mapper接口包")
    public class ApplicationConfig {
        public static void main(String[] args) {
            SpringApplication.run(ApplicationConfig.class);
        }
    }
4.编写Login和LoginMapper.xml

Login.java 登录对象

    public class Login {
    
        private Long id;
        private String username;
        private String password;

Permission.java 权限表

    public class Permission {
        private Long id;
        private String name;
        private String sn;
        private String resource;

LoginMapper.xml

    <?xml version="1.0" encoding="UTF-8"?>
    <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
    <mapper namespace="cn.itsource.security.mapper.LoginMapper">
    
        <!-- 通用查询映射结果 -->
        <resultMap id="BaseResultMap" type="cn.itsource.security.domain.Login">
            <id column="id" property="id" />
            <result column="username" property="username" />
            <result column="password" property="password" />
        </resultMap>
        <!--根据用户名查询用户-->
        <select id="selectByUsername" resultType="cn.itsource.security.domain.Login">
            select id,username,password
            from t_login where username = #{username}
        </select>
    
    </mapper>

PermissionMapper.xml

    <?xml version="1.0" encoding="UTF-8"?>
    <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
    <mapper namespace="cn.itsource.security.mapper.PermissionMapper">
    
        <!-- 通用查询映射结果 -->
        <resultMap id="BaseResultMap" type="cn.itsource.security.domain.Permission">
            <id column="id" property="id" />
            <result column="name" property="name" />
            <result column="resource" property="resource" />
            <result column="expression" property="expression" />
        </resultMap>
    
        <select id="selectPermissionsByUserId" resultMap="BaseResultMap">
            select p.id,p.name,p.resource,p.expression
            from t_user_role ur join t_role_permission rp on ur.role_id = rp.role_id
            join t_permission p on p.id = rp.permission_id
            where ur.user_id = #{userId}
        </select>
        
        <select id="selectAll" resultMap="BaseResultMap">
            select  p.id,p.name,p.resource,p.expression
            from t_permission p
        </select>
    
    </mapper>
5.编写Mapper映射器接口

LoginMapper.java

    package cn.itsource.security.mapper;
    
    import cn.itsource.security.domain.Login;
    import cn.itsource.security.domain.Permission;
    
    import java.util.List;
    
    public interface LoginMapper {
    
        Login selectByUsername(String username);
    
    }

PermissionMapper.java

    package cn.itsource.security.mapper;
    
    
    import cn.itsource.security.domain.Permission;
    
    import java.util.List;
    
    
    public interface PermissionMapper {
        List<Permission> selectPermissionsByUserId(Long userId);
    
        List<Permission> selectAll();
    }
6.创建数据库auth-rbac

相关表不用多说,需要注意的是:t_login密码使用BCryptPasswordEncoder加密

    SET FOREIGN_KEY_CHECKS=0;
    
    -- ----------------------------
    -- Table structure for t_permission 权限
    -- ----------------------------
    DROP TABLE IF EXISTS `t_permission`;
    CREATE TABLE `t_permission` (
      `id` bigint(20) NOT NULL AUTO_INCREMENT,
      `name` varchar(255) DEFAULT NULL,
      `resource` varchar(255) NOT NULL,
      `state` int(11) DEFAULT NULL,
      `menu_id` bigint(20) DEFAULT NULL,
      `expression` varchar(255) NOT NULL,
      PRIMARY KEY (`id`),
      KEY `menu_id` (`menu_id`)
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8;
    
    -- ----------------------------
    -- Records of t_permission
    -- ----------------------------
    
    -- ----------------------------
    -- Table structure for t_role 角色
    -- ----------------------------
    DROP TABLE IF EXISTS `t_role`;
    CREATE TABLE `t_role` (
      `id` bigint(20) NOT NULL AUTO_INCREMENT,
      `name` varchar(255) DEFAULT NULL,
      `sn` varchar(255) DEFAULT NULL,
      PRIMARY KEY (`id`)
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8;
    
    -- ----------------------------
    -- Records of t_role
    -- ----------------------------
    
    -- ----------------------------
    -- Table structure for t_role_permission 角色和权限关系
    -- ----------------------------
    DROP TABLE IF EXISTS `t_role_permission`;
    CREATE TABLE `t_role_permission` (
      `role_id` bigint(20) NOT NULL,
      `permission_id` bigint(20) NOT NULL,
      PRIMARY KEY (`role_id`,`permission_id`),
      KEY `permission_id` (`permission_id`)
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8;
    
    -- ----------------------------
    -- Records of t_role_permission
    -- ----------------------------
    
    -- ----------------------------
    -- Table structure for t_login 用户登录表
    -- ----------------------------
    DROP TABLE IF EXISTS `t_login`;
    CREATE TABLE `t_login` (
      `id` bigint(20) NOT NULL AUTO_INCREMENT,
      `username` varchar(255) DEFAULT NULL COMMENT '员工用户名',
      `password` varchar(255) DEFAULT NULL COMMENT '密码',
      PRIMARY KEY (`id`)
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8;
    
    -- ----------------------------
    -- Records of t_login
    -- ----------------------------
    
    -- ----------------------------
    -- Table structure for t_login_role 用户角色关系表
    -- ----------------------------
    DROP TABLE IF EXISTS `t_login_role`;
    CREATE TABLE `t_login_role` (
      `login_id` bigint(20) NOT NULL,
      `role_id` bigint(20) NOT NULL,
      PRIMARY KEY (`login_id`,`role_id`),
      KEY `role_id` (`role_id`)
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8;
    
    -- ----------------------------
    -- Records of t_login_role
    -- ----------------------------

3.定义UserDetailsService

相关概念

  • UserDetailsService
    是SpringSecurity提供用来获取认证用户信息(用户名,密码,用户的权限列表)的 接 口,我们可以实现该接口,复写loadUserByUsername(username) 方法加载我们数 据 库中的用户信息
  • UserDetails
    UserDetails是SpringSecurity用来封装用户认证信息,权限信息的对象,我们使用它 的实现类User封装用户信息 并返回,我们这里从数据库查询用户名

基于入门案例进行修改

  • 准备好认证表t_login(id,username,password密码密文),创建相关代码 ,集成MyBatis等,做好准备工作
  • 创建类UserDetailServiceImpl实现UserDetailsService接口
    /**
     * 用来提供给security的用户信息的service,
     * 我们需要复写 loadUserByUsername 方法返回数据库中的用户信息
     */
    @Service
    public class UserDetailServiceImpl implements UserDetailsService {
    	@Autoware
    	private LoginMapper loginMapper;
    
        /**
         * 加载数据库中的认证的用户的信息:用户名,密码,用户的权限列表
         * @param username: 该方法把username传入进来,我们通过username查询用户的信息
         (密码,权限列表等)然后封装成 UserDetails进行返回 ,交给security 。
         */
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
            
    		Login userFromMysql = loginMapper.selectByUsername(username);
    		if(loginFromMysql == null){
                  throw new UsernameNotFoundException("无效的用户名");
    		}
    		//暂时没加载权限
    		List<GrantedAuthority> permissions = new ArrayList<>();
    		//密码是基于BCryptPasswordEncoder加密的密文
    		//User是security内部的对象,UserDetails的实现类 ,
            //用来封装用户的基本信息(用户名,密码,权限列表)
            //四个true分别是账户启用,账户过期,密码过期,账户锁定
    		return new User(username,loginFromMysql.getPassword(),true,true,true,true,permissions);
        }
    }

Provider会调用UserDetailsService 获取认证信息,这里自定义的UserDetailsService实现类,复写了loadUserByUsername方法,根据用户名查询数据库中的认证信息和当前用户的权限信息,封装成User返回。

注意:这里定义了UserDetailSerice后,WebSecurityConfig中不在需要定义UserDetailService的Bean需要移除

4.自定义登录页面

1.准备登录页面static/login.html
    <!DOCTYPE html>
    <html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>登陆</title>
    </head>
    <body>
    <h1>登陆</h1>
    <form method="post" action="/login">
        <div>
            用户名:<input type="text" name="username">
        </div>
        <div>
            密码:<input type="password" name="password">
        </div>
        <div>
            <button type="submit">立即登陆</button>
        </div>
    </form>
    </body>
    </html>
2.配置登录页面

在WebSecurityConfig配置类中配置登陆页面和登陆请求地址

    protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable()
                    .authorizeRequests()
                    .antMatchers("/login").permitAll()  //登录路径放行
                    .antMatchers("/login.html").permitAll() //对登录页面跳转路径放行
                    .anyRequest().authenticated() //其他路径都要拦截
                    .and().formLogin()  //允许表单登录, 设置登陆页
                    .successForwardUrl("/loginSuccess") // 设置登陆成功页
                    .loginPage("/login.html")   //登录页面跳转地址
                    .loginProcessingUrl("/login")   //登录处理地址(必须)
                    .and().logout().permitAll();    //登出
        }
  • http.csrf().disable() :屏蔽跨域伪造检查
  • antMatchers("/login.html").permitAll() : 对登录页面跳转路径放行
  • loginPage("/login.html") :登录页面跳转地址(必须)
  • loginProcessingUrl("/login") :登录处理地址(必须)

2.自定义登出

1.指定登出路径

SpringSecurity提供了默认的退出处理,可以在Security配置类中通过.and().logout().permitAll(); 放行默认的退出路径“/logout” ,如果我们需要自定义退出路径,可以通过如下方式指定:

    .and().logout().logoutUrl("/mylogout").permitAll()    //制定义登出路径
    .invalidateHttpSession(true); //登出后session无效

2.登出处理器

当然我们也可以在登出的时候做一些自己的事情,通过定义LogoutHandler 处理器实现,如:定义登出处理器

    public class MyLogoutHandler implements LogoutHandler {
        @Override
        public void logout(HttpServletRequest request, HttpServletResponse response, Authentication authentication) {
            try {
                //登出成功,响应结果给客户端,通常是一个JSON数据
                response.getWriter().println("logout success");
            } catch (IOException e) {
                e.printStackTrace();
            }
        }
    }

配置处理器

    .and().logout().logoutUrl("/mylogout").permitAll()    //制定义登出路径
    .logoutSuccessHandler(new MyLogoutHandler())  //登出后处理器-可以做一些额外的事情
    .invalidateHttpSession(true); //登出后session无效

到这里配置就结束了,您可以重启测试一下

阅读全文