阅读全文

⭐⭐⭐ Spring Boot 项目实战	⭐⭐⭐ Spring Cloud 项目实战
《Dubbo 实现原理与源码解析 —— 精品合集》	《Netty 实现原理与源码解析 —— 精品合集》
《Spring 实现原理与源码解析 —— 精品合集》	《MyBatis 实现原理与源码解析 —— 精品合集》
《Spring MVC 实现原理与源码解析 —— 精品合集》	《数据库实体设计合集》
《Spring Boot 实现原理与源码解析 —— 精品合集》	《Java 面试题 + Java 学习指南》

摘要: 原创出处 http://www.iocoder.cn/Spring-Boot/Spring-Security/ ﹁芋道源码﹂欢迎转载，保留摘要，谢谢！


●1. 概述

●2. 快速入门

●3. 进阶使用

●4. 整合 Spring Session

●5. 整合 OAuth2

●6. 整合 JWT

●7. 项目实战

●666. 彩蛋

---

🙂🙂🙂关注**微信公众号‥︻芋道源码︼**有福利‥


(一)RocketMQ / MyCAT / Sharding-JDBC 所有源码分析文章列表

(二)RocketMQ / MyCAT / Sharding-JDBC 中文注释源码 GitHub 地址

(三)您对于源码的疑问每条留言都将得到认真回复。甚至不知道如何读源码也可以请教噢。

(四)新的源码解析文章实时收到通知。每周更新一篇左右。

(五)认真的源码交流微信群。

---

本文在提供完整代码示例，可见 https://github.com/YunaiV/SpringBoot-Labs 的 对应 lab-01-spring-security 目录。

原创不易，给点个 Star 嘿，一起冲鸭！

1. 概述

基本上，在所有的开发的系统中，都必须做认证(authentication)和授权(authorization)，以保证系统的安全性。😈 考虑到很多胖友对认证和授权有点分不清楚，艿艿这里引用一个网上有趣的例子‥


FROM ︽认证 (authentication) 和授权 (authorization) 的区别︾


●authentication [ɔ,θɛntɪ'keʃən] 认证

●authorization [,ɔθərɪ'zeʃən] 授权


以打飞机举例子‥


●︻认证︼你要登机，你需要出示你的 passport 和 ticket，passport 是为了证明你张三确实是你张三，这就是 authentication。

●︻授权︼而机票是为了证明你张三确实买了票可以上飞机，这就是 authorization。


以论坛举例子‥


●︻认证︼你要登录论坛，输入用户名张三，密码 1234，密码正确，证明你张三确实是张三，这就是 authentication。

●︻授权︼再一 check 用户张三是个版主，所以有权限加精删别人帖，这就是 authorization 。



所以简单来说‥认证解决“你是谁”的问题，授权解决“你能做什么”的问题。另外，在推荐阅读下︽认证、授权、鉴权和权限控制︾ 文章，更加详细明确。

在 Java 生态中，目前有 Spring Security 和 Apache Shiro 两个安全框架，可以完成认证和授权的功能。本文，我们先来学习下 Spring Security 。其官方对自己介绍如下‥


FROM ︽Spring Security 官网︾

Spring Security is a powerful and highly customizable authentication and access-control framework. It is the de-facto standard for securing Spring-based applications.
Spring Security 是一个功能强大且高度可定制的身份验证和访问控制框架。它是用于保护基于 Spring 的应用程序。

Spring Security is a framework that focuses on providing both authentication and authorization to Java applications. Like all Spring projects, the real power of Spring Security is found in how easily it can be extended to meet custom requirements
Spring Security 是一个框架，侧重于为 Java 应用程序提供身份验证和授权。与所有 Spring 项目一样，Spring 安全性的真正强大之处，在于它很容易扩展以满足定制需求。

2. 快速入门

示例代码对应仓库‥lab-01-springsecurity-demo 。


在本小节中，我们来快速入门下 Spring Security ，实现访问 API 接口时，需要首先进行登录，才能进行访问。

2.1 引入依赖

在 pom.xml 文件中，引入相关依赖。

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.1.10.RELEASE</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <modelVersion>4.0.0</modelVersion>

    <artifactId>lab-01-springsecurity-demo</artifactId>

    <dependencies>
        <!-- 实现对 Spring MVC 的自动化配置 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

        <!-- 实现对 Spring Security 的自动化配置 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
    </dependencies>

</project>

具体每个依赖的作用，胖友自己认真看下艿艿添加的所有注释噢。

2.2 Application

创建 Application.java 类，配置 @SpringBootApplication 注解即可。代码如下：

// Application.java

@SpringBootApplication
public class Application {

    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
    
}

2.3 配置文件

在 application.yml 中，添加 Spring Security 配置，如下：

spring:
  # Spring Security 配置项，对应 SecurityProperties 配置类
  security:
    # 配置默认的 InMemoryUserDetailsManager 的用户账号与密码。
    user:
      name: user # 账号
      password: user # 密码
      roles: ADMIN # 拥有角色

• 这里，我们先提供一个 "/admin/demo" 接口，用于测试未登录时，会被拦截到登录界面。

2.5 简单测试

执行 Application#main(String[] args) 方法，运行项目。

项目启动成功后，浏览器访问 http://127.0.0.1:8080/admin/demo 接口。因为未登录，所以被 Spring Security 拦截到登录界面。如下图所示‥
因为我们没有自定义登录界面，所以默认会使用 DefaultLoginPageGeneratingFilter 类，生成上述界面。

输入我们在﹁2.3 配置文件﹂中配置的﹁user/user﹂账号，进行登录。登录完成后，因为 Spring Security 会记录被拦截的访问地址，所以浏览器自动动跳转 http://127.0.0.1:8080/admin/demo 接口。访问结果如下图所示‥

3. 进阶使用

示例代码对应仓库‥lab-01-springsecurity-demo-role 。


在﹁2. 快速入门﹂中，我们很快速的完成了 Spring Security 的入门。本小节，我们将会自定义 Spring Security 的配置，实现权限控制。

考虑到不污染上述的示例，我们新建一个 lab-01-springsecurity-demo-role 项目。

3.1 引入依赖

和 ﹁2.1 引入依赖﹂ 一致，见 pom.xml 文件。

3.2 示例一

在示例一中，我们会看看如何自定义 Spring Security 的配置，实现权限控制。

3.2.1 SecurityConfig

在 cn.iocoder.springboot.lab01.springsecurity.config 包下，创建 SecurityConfig 配置类，继承 WebSecurityConfigurerAdapter 抽象类，实现 Spring Security 在 Web 场景下的自定义配置。代码如下‥

// SecurityConfig.java

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // ...

}

• 
  <X> 处，调用 HttpSecurity#authorizeRequests() 方法，开始配置 URL 的权限控制。注意看艿艿配置的四个权限控制的配置。下面，是配置权限控制会使用到的方法‥
  
  
  ●#(String... antPatterns) 方法，配置匹配的 URL 地址，基于 Ant 风格路径表达式 ，可传入多个。
  
  ●︻常用︼#permitAll() 方法，所有用户可访问。
  
  ●︻常用︼#denyAll() 方法，所有用户不可访问。
  
  ●︻常用︼#authenticated() 方法，登录用户可访问。
  
  ●#anonymous() 方法，无需登录，即匿名用户可访问。
  
  ●#rememberMe() 方法，通过 remember me 登录的用户可访问。
  
  ●#fullyAuthenticated() 方法，非 remember me 登录的用户可访问。
  
  ●#hasIpAddress(String ipaddressExpression) 方法，来自指定IP表达式的用户可访问。
  
  ●︻常用︼#hasRole(String role) 方法， 拥有指定角色的用户可访问。
  
  ●︻常用︼#hasAnyRole(String... roles) 方法，拥有指定任一角色的用户可访问。
  
  ●︻常用︼#hasAuthority(String authority) 方法，拥有指定权限(authority)的用户可访问。
  
  ●︻常用︼#hasAuthority(String... authorities) 方法，拥有指定任一权限(authority)的用户可访问。
  
  ●︻最牛︼#access(String attribute) 方法，当 Spring EL 表达式的执行结果为 true 时，可以访问。
  
  
  
  
  <Y> 处，调用 HttpSecurity#formLogin() 方法，设置 Form 表单登录。
  
  
  ●如果胖友想要自定义登录页面，可以通过 #loginPage(String loginPage) 方法，来进行设置。不过这里我们希望像﹁2. 快速入门﹂一样，使用默认的登录界面，所以不进行设置。
  
  
  
  
  <Z> 处，调用 HttpSecurity#logout() 方法，配置退出相关。
  
  
  ●如果胖友想要自定义退出页面，可以通过 #logoutUrl(String logoutUrl) 方法，来进行设置。不过这里我们希望像﹁2. 快速入门﹂一样，使用默认的退出界面，所以不进行设置。
  
  
  
  

  3.2.2 TestController

  
  在 cn.iocoder.springboot.lab01.springsecurity.controller 包路径下，创建 TestController 类，提供测试 API 接口。代码如下‥
  

  // TestController.java
  
  @RestController
  @RequestMapping("/test")
  public class TestController {
  
      @GetMapping("/echo")
      public String demo() {
          return "示例返回";
      }
  
      @GetMapping("/home")
      public String home() {
          return "我是首页";
      }
  
      @GetMapping("/admin")
      public String admin() {
          return "我是管理员";
      }
  
      @GetMapping("/normal")
      public String normal() {
          return "我是普通用户";
      }
  
  }

• <3> 处，调用 #refreshToken(LoginUser loginUser) 方法，缓存 LoginUser 到 Redis 缓存中。代码如下：

  // application.yaml
  # token配置
  token:
      # 令牌有效期（默认30分钟）
      expireTime: 30
  
  // Constants.java
  /**
   * 登录用户 redis key
   */
  public static final String LOGIN_TOKEN_KEY = "login_tokens:";
  
  // TokenService.java
  // 令牌有效期（默认30分钟）
  @Value("${token.expireTime}")
  private int expireTime;
  
  @Autowired
  private RedisCache redisCache;
  
  public void refreshToken(LoginUser loginUser) {
      loginUser.setLoginTime(System.currentTimeMillis());
      loginUser.setExpireTime(loginUser.getLoginTime() + expireTime * MILLIS_MINUTE);
      // 根据 uuid 将 loginUser 缓存
      String userKey = getTokenKey(loginUser.getToken());
      redisCache.setCacheObject(userKey, loginUser, expireTime, TimeUnit.MINUTES);
  }
  
  private String getTokenKey(String uuid) {
      return Constants.LOGIN_TOKEN_KEY + uuid;
  }

  • <1> 处，调用 TokenService 的 #getLoginUser(request) 方法，获得当前 LoginUser 。代码如下：

    // application.yaml
    # token配置
    token:
        # 令牌自定义标识
        header: Authorization
    
    // TokenService.jav
    // 令牌自定义标识
    @Value("${token.header}")
    private String header;
    
    /**
     * 获取用户身份信息
     *
     * @return 用户信息
     */
    public LoginUser getLoginUser(HttpServletRequest request) {
        // <1.1> 获取请求携带的令牌
        String token = getToken(request);
        if (StringUtils.isNotEmpty(token)) {
            // <1.2> 解析 JWT 的 Token
            Claims claims = parseToken(token);
            // <1.3> 从 Redis 缓存中，获得对应的 LoginUser
            String uuid = (String) claims.get(Constants.LOGIN_USER_KEY);
            String userKey = getTokenKey(uuid);
            return redisCache.getCacheObject(userKey);
        }
        return null;
    }
    
    private String getToken(HttpServletRequest request) {
        String token = request.getHeader(header);
        if (StringUtils.isNotEmpty(token) && token.startsWith(Constants.TOKEN_PREFIX)) {
            token = token.replace(Constants.TOKEN_PREFIX, "");
        }
        return token;
    }
    
    private Claims parseToken(String token) {
        return Jwts.parser()
                .setSigningKey(secret)
                .parseClaimsJws(token)
                .getBody();
    }

  • 
    <3> 处，记录相应的退出成功日志。
    
    
    
    <4> 处，响应退出成功的 JSON 字符串。
    
    
    

    7.7 登录日志

    
    SysLogininfor ，登录日志实体。代码如下‥
    

    // SysLogininfor.java
    
    public class SysLogininfor extends BaseEntity  {
    
        private static final long serialVersionUID = 1L;
    
        @Excel(name = "序号", cellType = ColumnType.NUMERIC)
        private Long infoId;
    
        @Excel(name = "用户账号")
        private String userName;
    
        @Excel(name = "登录状态", readConverterExp = "0=成功,1=失败")
        private String status;
    
        @Excel(name = "登录地址")
        private String ipaddr;
    
        @Excel(name = "登录地点")
        private String loginLocation;
    
        @Excel(name = "浏览器")
        private String browser;
    
        @Excel(name = "操作系统")
        private String os;
    
        @Excel(name = "提示消息")
        private String msg;
    
        @Excel(name = "访问时间", width = 30, dateFormat = "yyyy-MM-dd HH:mm:ss")
        private Date loginTime;
        
        // ...省略 set/get 方法
    }

    • 每个字段比较简单，胖友自己根据注释理解下即可。

    对应表的创建 SQL 如下：

    create table sys_logininfor (
      info_id        bigint(20)     not null auto_increment   comment '访问ID',
      user_name      varchar(50)    default ''                comment '用户账号',
      ipaddr         varchar(50)    default ''                comment '登录IP地址',
      login_location varchar(255)   default ''                comment '登录地点',
      browser        varchar(50)    default ''                comment '浏览器类型',
      os             varchar(50)    default ''                comment '操作系统',
      status         char(1)        default '0'               comment '登录状态（0成功 1失败）',
      msg            varchar(255)   default ''                comment '提示消息',
      login_time     datetime                                 comment '访问时间',
      primary key (info_id)
    ) engine=innodb auto_increment=100 comment = '系统访问记录';

    
    在 RuoYi-Vue 中，记录 SysLogininfor 的过程如下‥
    
    
    ●首先，手动调用 AsyncFactory#recordLogininfor(username, status, message, args) 方法，创建一个 Java TimerTask 任务。
    
    ●然后调用 AsyncManager#execute(TimerTask task) 方法，提交到定时任务的线程中，延迟 OPERATE_DELAY_TIME = 10 秒后，存储该记录到数据库中。
    
    
    这样的好处，是可以实现异步存储日志到数据库中，提升 API 接口的性能。不过实际上，Spring 提供了 @Async 注解，方便的实现异步操作。不了解的胖友，可以看看︽芋道 Spring Boot 异步任务入门︾。
    
    另外，在 RuoYi-Vue 中还定义了 SysOperLog ，操作日志实体类。感兴趣的胖友，自己去瞅瞅。
    

    7.8 获得用户信息 API 接口

    
    在 SysLoginController 中，定义了 /getInfo 接口，获取登录的用户信息。代码如下‥
    

    // SysLoginController.java
    
    /**
     * 获取用户信息
     *
     * @return 用户信息
     */
    @GetMapping("getInfo")
    public AjaxResult getInfo() {
        // <1> 获得当前 LoginUser
        LoginUser loginUser = tokenService.getLoginUser(ServletUtils.getRequest());
        SysUser user = loginUser.getUser();
        // <2> 角色标识的集合
        Set<String> roles = permissionService.getRolePermission(user);
        // <3> 权限集合
        Set<String> permissions = permissionService.getMenuPermission(user);
        // <4> 返回结果
        AjaxResult ajax = AjaxResult.success();
        ajax.put("user", user);
        ajax.put("roles", roles);
        ajax.put("permissions", permissions);
        return ajax;
    }