天咱們來聊一聊 Spring Security 中的表決機(jī)制與投票器。

當(dāng)用戶想訪問 Spring Security 中一個(gè)受保護(hù)的資源時(shí)，用戶具備一些角色，該資源的訪問也需要一些角色，在比對(duì)用戶具備的角色和資源需要的角色時(shí)，就會(huì)用到投票器和表決機(jī)制。

當(dāng)用戶想要訪問某一個(gè)資源時(shí)，投票器根據(jù)用戶的角色投出贊成或者反對(duì)票，表決方式則根據(jù)投票器的結(jié)果進(jìn)行表決。

在 Spring Security 中，默認(rèn)提供了三種表決機(jī)制，當(dāng)然，我們也可以不用系統(tǒng)提供的表決機(jī)制和投票器，而是完全自己來定義，這也是可以的。

本文松哥將和大家重點(diǎn)介紹三種表決機(jī)制和默認(rèn)的投票器。

1.投票器

先來看投票器。

在 Spring Security 中，投票器是由 AccessDecisionVoter 接口來規(guī)范的，我們來看下 AccessDecisionVoter 接口的實(shí)現(xiàn)：

可以看到，投票器的實(shí)現(xiàn)有好多種，我們可以選擇其中一種或多種投票器，也可以自定義投票器，默認(rèn)的投票器是 WebExpressionVoter。

我們來看 AccessDecisionVoter 的定義：

public interface AccessDecisionVoter<S> {
 int ACCESS_GRANTED = 1;
 int ACCESS_ABSTAIN = 0;
 int ACCESS_DENIED = -1;
 boolean supports(ConfigAttribute attribute);
 boolean supports(Class<?> clazz);
 int vote(Authentication authentication, S object,
   Collection<ConfigAttribute> attributes);
}

我稍微解釋下：

1. 首先一上來定義了三個(gè)常量，從常量名字中就可以看出每個(gè)常量的含義，1 表示贊成；0 表示棄權(quán)；-1 表示拒絕。
2. 兩個(gè) supports 方法用來判斷投票器是否支持當(dāng)前請(qǐng)求。
3. vote 則是具體的投票方法。在不同的實(shí)現(xiàn)類中實(shí)現(xiàn)。三個(gè)參數(shù)，authentication 表示當(dāng)前登錄主體；object 是一個(gè) ilterInvocation，里邊封裝了當(dāng)前請(qǐng)求；attributes 表示當(dāng)前所訪問的接口所需要的角色集合。

我們來分別看下幾個(gè)投票器的實(shí)現(xiàn)。

1.1 RoleVoter

RoleVoter 主要用來判斷當(dāng)前請(qǐng)求是否具備該接口所需要的角色，我們來看下其 vote 方法：

public int vote(Authentication authentication, Object object,
  Collection<ConfigAttribute> attributes) {
 if (authentication == null) {
  return ACCESS_DENIED;
 }
 int result = ACCESS_ABSTAIN;
 Collection<? extends GrantedAuthority> authorities = extractAuthorities(authentication);
 for (ConfigAttribute attribute : attributes) {
  if (this.supports(attribute)) {
   result = ACCESS_DENIED;
   for (GrantedAuthority authority : authorities) {
    if (attribute.getAttribute().equals(authority.getAuthority())) {
     return ACCESS_GRANTED;
    }
   }
  }
 }
 return result;
}

這個(gè)方法的判斷邏輯很簡(jiǎn)單，如果當(dāng)前登錄主體為 null，則直接返回 ACCESS_DENIED 表示拒絕訪問；否則就從當(dāng)前登錄主體 authentication 中抽取出角色信息，然后和 attributes 進(jìn)行對(duì)比，如果具備 attributes 中所需角色的任意一種，則返回 ACCESS_GRANTED 表示允許訪問。例如 attributes 中的角色為 [a,b,c]，當(dāng)前用戶具備 a，則允許訪問，不需要三種角色同時(shí)具備。

另外還有一個(gè)需要注意的地方，就是 RoleVoter 的 supports 方法，我們來看下：

public class RoleVoter implements AccessDecisionVoter<Object> {
 private String rolePrefix = "ROLE_";
 public String getRolePrefix() {
  return rolePrefix;
 }
 public void setRolePrefix(String rolePrefix) {
  this.rolePrefix = rolePrefix;
 }
 public boolean supports(ConfigAttribute attribute) {
  if ((attribute.getAttribute() != null)
    && attribute.getAttribute().startsWith(getRolePrefix())) {
   return true;
  }
  else {
   return false;
  }
 }
 public boolean supports(Class<?> clazz) {
  return true;
 }
}

可以看到，這里涉及到了一個(gè) rolePrefix 前綴，這個(gè)前綴是 ROLE_，在 supports 方法中，只有主體角色前綴是 ROLE_，這個(gè) supoorts 方法才會(huì)返回 true，這個(gè)投票器才會(huì)生效。

1.2 RoleHierarchyVoter

RoleHierarchyVoter 是 RoleVoter 的一個(gè)子類，在 RoleVoter 角色判斷的基礎(chǔ)上，引入了角色分層管理，也就是角色繼承，關(guān)于角色繼承，小伙伴們可以參考松哥之前的文章（Spring Security 中如何讓上級(jí)擁有下級(jí)的所有權(quán)限？）。

RoleHierarchyVoter 類的 vote 方法和 RoleVoter 一致，唯一的區(qū)別在于 RoleHierarchyVoter 類重寫了 extractAuthorities 方法。

@Override
Collection<? extends GrantedAuthority> extractAuthorities(
  Authentication authentication) {
 return roleHierarchy.getReachableGrantedAuthorities(authentication
   .getAuthorities());
}

角色分層之后，需要通過 getReachableGrantedAuthorities 方法獲取實(shí)際具備的角色，具體請(qǐng)參考：Spring Security 中如何讓上級(jí)擁有下級(jí)的所有權(quán)限？ 一文。

1.3 WebExpressionVoter

這是一個(gè)基于表達(dá)式權(quán)限控制的投票器，松哥后面專門花點(diǎn)時(shí)間和小伙伴們聊一聊基于表達(dá)式的權(quán)限控制，這里我們先不做過多展開，簡(jiǎn)單看下它的 vote 方法：

public int vote(Authentication authentication, FilterInvocation fi,
  Collection<ConfigAttribute> attributes) {
 assert authentication != null;
 assert fi != null;
 assert attributes != null;
 WebExpressionConfigAttribute weca = findConfigAttribute(attributes);
 if (weca == null) {
  return ACCESS_ABSTAIN;
 }
 EvaluationContext ctx = expressionHandler.createEvaluationContext(authentication,
   fi);
 ctx = weca.postProcess(ctx, fi);
 return ExpressionUtils.evaluateAsBoolean(weca.getAuthorizeExpression(), ctx) ? ACCESS_GRANTED
   : ACCESS_DENIED;
}

如果你熟練使用 SpEL 的話，這段代碼應(yīng)該說還是很好理解的，不過根據(jù)我的經(jīng)驗(yàn)，實(shí)際工作中用到 SpEL 場(chǎng)景雖然有，但是不多，所以可能有很多小伙伴并不了解 SpEL 的用法，這個(gè)需要小伙伴們自行復(fù)習(xí)下，我也給大家推薦一篇還不錯(cuò)的文章：https://www.cnblogs.com/larryzeal/p/5964621.html。

這里代碼實(shí)際上就是根據(jù)傳入的 attributes 屬性構(gòu)建 weca 對(duì)象，然后根據(jù)傳入的 authentication 參數(shù)構(gòu)建 ctx 對(duì)象，最后調(diào)用 evaluateAsBoolean 方法去判斷權(quán)限是否匹配。

上面介紹這三個(gè)投票器是我們?cè)趯?shí)際開發(fā)中使用較多的三個(gè)。

1.4 其他

另外還有幾個(gè)比較冷門的投票器，松哥也稍微說下，小伙伴們了解下。

Jsr250Voter

處理 Jsr-250 權(quán)限注解的投票器，如 @PermitAll，@DenyAll 等。

AuthenticatedVoter

AuthenticatedVoter 用于判斷 ConfigAttribute 上是否擁有 IS_AUTHENTICATED_FULLY、IS_AUTHENTICATED_REMEMBERED、IS_AUTHENTICATED_ANONYMOUSLY 三種角色。

IS_AUTHENTICATED_FULLY 表示當(dāng)前認(rèn)證用戶必須是通過用戶名/密碼的方式認(rèn)證的，通過 RememberMe 的方式認(rèn)證無效。

IS_AUTHENTICATED_REMEMBERED 表示當(dāng)前登錄用戶必須是通過 RememberMe 的方式完成認(rèn)證的。

IS_AUTHENTICATED_ANONYMOUSLY 表示當(dāng)前登錄用戶必須是匿名用戶。

當(dāng)項(xiàng)目引入 RememberMe 并且想?yún)^(qū)分不同的認(rèn)證方式時(shí)，可以考慮這個(gè)投票器。

AbstractAclVoter

提供編寫域?qū)ο?ACL 選項(xiàng)的幫助方法，沒有綁定到任何特定的 ACL 系統(tǒng)。

PreInvocationAuthorizationAdviceVoter

使用 @PreFilter 和 @PreAuthorize 注解處理的權(quán)限，通過 PreInvocationAuthorizationAdvice 來授權(quán)。

當(dāng)然，如果這些投票器不能滿足需求，也可以自定義。

2.表決機(jī)制

一個(gè)請(qǐng)求不一定只有一個(gè)投票器，也可能有多個(gè)投票器，所以在投票器的基礎(chǔ)上我們還需要表決機(jī)制。

表決相關(guān)的類主要是三個(gè)：

• AffirmativeBased
• ConsensusBased
• UnanimousBased

他們的繼承關(guān)系如上圖。

三個(gè)決策器都會(huì)把項(xiàng)目中的所有投票器調(diào)用一遍，默認(rèn)使用的決策器是 AffirmativeBased。

三個(gè)決策器的區(qū)別如下：

• AffirmativeBased：有一個(gè)投票器同意了，就通過。
• ConsensusBased：多數(shù)投票器同意就通過，平局的話，則看 allowIfEqualGrantedDeniedDecisions 參數(shù)的取值。
• UnanimousBased 所有投票器都同意，請(qǐng)求才通過。

這里的具體判斷邏輯比較簡(jiǎn)單，松哥就不貼源碼了，感興趣的小伙伴可以自己看看。

3.在哪里配置

當(dāng)我們使用基于表達(dá)式的權(quán)限控制時(shí)，像下面這樣：

http.authorizeRequests()
        .antMatchers("/admin/**").hasRole("admin")
        .antMatchers("/user/**").hasRole("user")
        .anyRequest().fullyAuthenticated()

那么默認(rèn)的投票器和決策器是在 AbstractInterceptUrlConfigurer#createDefaultAccessDecisionManager 方法中配置的：

private AccessDecisionManager createDefaultAccessDecisionManager(H http) {
 AffirmativeBased result = new AffirmativeBased(getDecisionVoters(http));
 return postProcess(result);
}
List<AccessDecisionVoter<?>> getDecisionVoters(H http) {
 List<AccessDecisionVoter<?>> decisionVoters = new ArrayList<>();
 WebExpressionVoter expressionVoter = new WebExpressionVoter();
 expressionVoter.setExpressionHandler(getExpressionHandler(http));
 decisionVoters.add(expressionVoter);
 return decisionVoters;
}

這里就可以看到默認(rèn)的決策器和投票器，并且決策器 AffirmativeBased 對(duì)象創(chuàng)建好之后，還調(diào)用 postProcess 方法注冊(cè)到 Spring 容器中去了，結(jié)合松哥本系列前面的文章，大家知道，如果我們想要修改該對(duì)象就非常容易了：

http.authorizeRequests()
        .antMatchers("/admin/**").hasRole("admin")
        .antMatchers("/user/**").hasRole("user")
        .anyRequest().fullyAuthenticated()
        .withObjectPostProcessor(new ObjectPostProcessor<AffirmativeBased>() {
            @Override
            public <O extends AffirmativeBased> O postProcess(O object) {
                List<AccessDecisionVoter<?>> decisionVoters = new ArrayList<>();
                decisionVoters.add(new RoleHierarchyVoter(roleHierarchy()));
                AffirmativeBased affirmativeBased = new AffirmativeBased(decisionVoters);
                return (O) affirmativeBased;
            }
        })
        .and()
        .csrf()
        .disable();

這里只是給大家一個(gè)演示，正常來說我們是不需要這樣修改的。當(dāng)我們使用不同的權(quán)限配置方式時(shí)，會(huì)有自動(dòng)配置對(duì)應(yīng)的投票器和決策器。或者我們手動(dòng)配置投票器和決策器，如果是系統(tǒng)配置好的，大部分情況下并不需要我們修改。

4.小結(jié)

本文主要和小伙伴們簡(jiǎn)單分享一下 Spring Security 中的投票器和決策器，關(guān)于授權(quán)的更多知識(shí)，松哥下篇文章繼續(xù)和小伙伴們細(xì)聊。

. Spring Security 簡(jiǎn)介

Spring Security 是一種基于 Spring AOP 和 Servlet 過濾器的安全框架。原名Acegi Security，最早于2003年起源于Spring社區(qū)。 2007年末正式歸為Spring Framework的正式子項(xiàng)目，并改名為Spring Security 。此后， Spring Security有了長(zhǎng)遠(yuǎn)發(fā)展，現(xiàn)已成為一款基于Spring Framework的廣泛應(yīng)用的安全框架，主要為應(yīng)用服務(wù)提供用戶認(rèn)證（Authentication）和用戶授權(quán)（Authorization）功能。詳情可參考Spring Security 官方文檔。

Spring Security 針對(duì)安全方面的兩大難題， 鑒權(quán)（Authentication）和授權(quán)（Authorization）提供了靈活強(qiáng)大的解決方案。

• 用戶鑒權(quán)（Authentication）， 是指對(duì)用戶身份的鑒權(quán)， 驗(yàn)證某個(gè)用戶是否為系統(tǒng)中的合法對(duì)象， 是否能夠訪問對(duì)應(yīng)的系統(tǒng)資源。比如用戶輸入賬戶和密碼登陸系統(tǒng)。
• 用戶授權(quán)（Authorization），是指授予通過認(rèn)證的用戶指定的系統(tǒng)資源操作權(quán)限， 能否執(zhí)行具體某個(gè)操作。比如用戶能夠訪問操作的菜單，能夠請(qǐng)求的功能接口， 這些都是系統(tǒng)資源。

Spring Security優(yōu)勢(shì)：

• 靈活性， Spring Security并不局限于Spring MVC，雖然它是基于Spring Framework實(shí)現(xiàn)的，但它并不依賴于Spring MVC，可以獨(dú)立于MVC應(yīng)用在其他Java EE框架之上。
• 功能強(qiáng)大，Spring Security的安全管制并不只限制于Web請(qǐng)求，除此之外它還可以針對(duì)方法調(diào)用通過AOP的方式進(jìn)行安全管制，甚至可以對(duì)域?qū)ο髮?shí)例（Domain Object Instance）進(jìn)行訪問控制。
• 安全保護(hù)， 防止偽造身份， Spring Security 會(huì)自動(dòng)攔截站點(diǎn)所有狀態(tài)變化的請(qǐng)求（非GET,HEAD,OPTIONS和TRACE的請(qǐng)求），防止跨站請(qǐng)求偽造（CSRF防護(hù)），即防止其他網(wǎng)站或是程序POST等請(qǐng)求本站點(diǎn)。

如果項(xiàng)目需要安全控制功能，不用自己去實(shí)現(xiàn)一套， 集成Spring Security專業(yè)安全框架是首選， 適用后臺(tái)管理、接口資源管理、微服務(wù)統(tǒng)一鑒權(quán)等場(chǎng)景。

2. Spring Security設(shè)計(jì)處理機(jī)制

處理流程圖：

• 客戶端發(fā)起一個(gè)請(qǐng)求，進(jìn)入 Security 過濾器鏈。
• 當(dāng)?shù)?LogoutFilter 的時(shí)候判斷是否是登出路徑，如果是登出路徑則到 logoutHandler ，如果登出成功則到 logoutSuccessHandler 登出成功處理，如果登出失敗則由 ExceptionTranslationFilter ；如果不是登出路徑則直接進(jìn)入下一個(gè)過濾器。
• 當(dāng)?shù)?UsernamePasswordAuthenticationFilter 的時(shí)候判斷是否為登錄路徑，如果是，則進(jìn)入該過濾器進(jìn)行登錄操作，如果登錄失敗則到 AuthenticationFailureHandler 登錄失敗處理器處理，如果登錄成功則到 AuthenticationSuccessHandler 登錄成功處理器處理，如果不是登錄請(qǐng)求則不進(jìn)入該過濾器。
• 當(dāng)?shù)?FilterSecurityInterceptor 的時(shí)候會(huì)拿到 uri ，根據(jù) uri 去找對(duì)應(yīng)的鑒權(quán)管理器，鑒權(quán)管理器做鑒權(quán)工作，鑒權(quán)成功則到 Controller 層否則到 AccessDeniedHandler 鑒權(quán)失敗處理器處理。
• 投票機(jī)制， 三種表決方式， 默認(rèn)采用一票制（AffirmativeBased）

3. Spring Boot 與Spring Security 集成配置

Spring Boot 與Spring Security 集成， 包含一般集成用法， 還包括自定義用戶登陸頁面使用， 自定義內(nèi)存模式驗(yàn)證， 以及自定義登陸成功與失敗邏輯處理。

1、創(chuàng)建工程spring-boot-security-integrate

啟動(dòng)類：

com.mirson.spring.boot.security.integrate.startup.SecurityIntegrateApplication

@SpringBootApplication
@ComponentScan(basePackages = {"com.mirson"})
public class SecurityIntegrateApplication {

    public static void main(String[] args) {
        SpringApplication.run(SecurityIntegrateApplication.class, args);
    }
}

2、MAVEN依賴

<dependencies>
        <!-- Spring Boot Security 安全依賴組件 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <!-- Spring Boot Thymeleaf 模板依賴組件 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
        <!-- Spring Boot Web 依賴組件 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <!--Spring boot freemarker 自動(dòng)化配置組件 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-freemarker</artifactId>
        </dependency>
    </dependencies>

3、定義一個(gè)外部訪問接口

1）創(chuàng)建實(shí)體

定義一個(gè)用戶實(shí)體

com.mirson.spring.boot.security.integrate.po.User

@Data
public class User {

    /**
     * ID
     */
    private Integer id;

    /**
     * 用戶名稱
     */
    private String name;

    /**
     * 年齡
     */
    private String age;

    /**
     * 省份
     */
    private String province;


    /**
     * 創(chuàng)建時(shí)間
     */
    private Date createDate;

}

2）提供Web訪問接口

提供一個(gè)獲取用戶信息接口

com.mirson.spring.boot.security.integrate.controller.UserController

@RestController
@RequestMapping("/user")
@Log4j2
public class UserController {

    @GetMapping("/getUserInfo")
    @ResponseBody
    public User getUserInfo() {
        User user = new User();
        user.setId(0);
        user.setAge("21");
        user.setName("user1");
        user.setCreateDate(new Date());
        return user;
    }

}

4、工程配置

server:
  port: 22618
spring:
  application:
    name: security-integrate

  # security 安全配置
  security:
    user:
      name: "admin"
      password: "admin"

設(shè)置默認(rèn)的用戶名與密碼為admin。

5、功能驗(yàn)證

1） 請(qǐng)求獲取用戶信息接口

訪問接口： http://127.0.0.1:22618/getUserInfo

沒有鑒權(quán)的情況下， 會(huì)出現(xiàn)登陸界面。

2）輸入用戶信息admin/admin， 再次請(qǐng)求獲取用戶信息接口

正確輸入用戶信息后， 可以正常訪問用戶信息接口。

4. Spring Security 自定義鑒權(quán)實(shí)現(xiàn)

4.1 自定義登陸頁面處理

Spring Security 內(nèi)置會(huì)有一套登陸頁面， 也可以自定修改， 這里通過freemark模板來實(shí)現(xiàn)自定登陸頁面渲染。

application.yml增加配置：

   # freemarker 模板配置
     freemarker:
       allow-request-override: false
       allow-session-override: false
       cache: true
       charset: UTF-8
       check-template-location: true
       content-type: text/html
       enabled: true
       expose-request-attributes: false
       expose-session-attributes: false
       expose-spring-macro-helpers: true
       prefer-file-system-access: true
       suffix: .ftl
       template-loader-path: classpath:/templates/
   

增加freemark模板文件：

   <!DOCTYPE html>
   <html lang="en">
     <head>
       <meta charset="utf-8">
       <meta http-equiv="X-UA-Compatible" content="IE=edge">
       <meta name="viewport" content="width=device-width, initial-scale=1">
       <meta name="description" content="">
       <meta name="author" content="">
   
       <title>自定義系統(tǒng)登陸</title>
   
       <link href="/css/bootstrap.min.css" rel="stylesheet">
       <link href="/css/signin.css" rel="stylesheet">
     </head>
   
     <body>
       <div class="container form-margin-top">
         <form class="form-signin" action="/user/doUserLogin" method="post">
           <h2 class="form-signin-heading" align="center">自定義系統(tǒng)登陸</h2>
           <input type="text" name="username" class="form-control form-margin-top" placeholder="賬號(hào)" required autofocus>
           <input type="password" name="password" class="form-control" placeholder="密碼" required>
           <button class="btn btn-lg btn-primary btn-block" type="submit">sign in</button>
         </form>
       </div>
       <footer>
         <p>support by: mirson</p>
       </footer>
     </body>
   </html>
   

添加CSS靜態(tài)資源文件

添加JAVA CONFIG配置：

com.mirson.spring.boot.security.integrate.config.SpringSecurityConfiguration

   @Configuration
   @EnableWebSecurity
   public class SpringSecurityConfiguration extends WebSecurityConfigurerAdapter {
       @Override
       protected void configure(HttpSecurity http) throws Exception {
          http
                  .authorizeRequests()
                  .antMatchers("/user/userLoginForm",
                          "/css/**").permitAll()
                  .antMatchers("/user/getUserInfo").authenticated() 
                  .and()
                  .formLogin()
                  .loginPage("/user/userLoginForm")    //自定義登錄頁面             
                  .permitAll()            //允許所有人訪問該路由
                  .and()
                  .csrf()
                  .disable()                //暫時(shí)禁用csrc否則無法提交
                  .httpBasic();
       }
   }

重啟， 訪問接口： http://127.0.0.1:22618/user/getUserInfo

會(huì)自動(dòng)跳轉(zhuǎn)到自定義的登陸頁面：

4.2 自定義資源訪問配置

修改com.mirson.spring.boot.security.integrate.config.SpringSecurityConfiguration配置：

   @Configuration
   @EnableWebSecurity
   public class SpringSecurityConfiguration extends WebSecurityConfigurerAdapter {
       
       @Override
       protected void configure(HttpSecurity http) throws Exception {
          http
                  .authorizeRequests()
                  .antMatchers("/user/doUserLogin", "/user/userLoginForm",
                          "/css/**").permitAll()
                  .antMatchers("/user/getUserInfo").authenticated() //hasRole("ADMIN")
                  .and()
                  .formLogin()
                  .loginPage("/user/userLoginForm")    //自定義登錄頁面
                  .loginProcessingUrl("/user/doUserLogin") // 自定義登陸處理地址
                  .permitAll()            //允許所有人訪問該路由
                  .and()
                  .csrf()
                  .disable()                //暫時(shí)禁用csrc否則無法提交
                  .httpBasic();
       }
       
   }
   

通過Spring Security 可以控制， 哪些資源需要受權(quán)限保護(hù)， 哪些可以開放訪問。

• 開放訪問

/user/userLoginForm 用戶登陸頁面

/user/doUserLogin 登陸處理地址

/css/** 靜態(tài)資源文件

• 權(quán)限保護(hù)

/user/getUserInfo 獲取用戶信息接口

可以指定Role角色權(quán)限， 不指定， 只要登陸即擁有訪問權(quán)限。

loginPage指定/user/userLoginForm為自定義登陸頁面；

loginProcessingUrl為登陸請(qǐng)求處理接口地址，可以不用對(duì)其做具體實(shí)現(xiàn)，Spring Security 會(huì)做默認(rèn)處理。

4.3 自定義內(nèi)存模式鑒權(quán)

1、創(chuàng)建鑒權(quán)用戶對(duì)象：

com.mirson.spring.boot.security.integrate.po.OAuthUser

@Data
public class OAuthUser extends User {

    public OAuthUser(String account, String password){

        super(account, password, true, true, true, true, Collections.EMPTY_SET);
    }

}

繼承的是Spring Security 的User對(duì)象， 將賬號(hào)和密碼信息， 傳遞至父類構(gòu)造方法。

2、修改SpringSecurityConfiguration配置

增加：

@Configuration
@EnableWebSecurity
public class SpringSecurityConfiguration extends WebSecurityConfigurerAdapter {
    
    /**
     * 用戶認(rèn)證服務(wù)
     * */
    @Bean
    @Override
    protected UserDetailsService userDetailsService() {
        //創(chuàng)建基于內(nèi)存用戶管理對(duì)象
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        //自定義權(quán)限
        Collection<GrantedAuthority> adminAuth = new ArrayList<>();
        adminAuth.add(new SimpleGrantedAuthority("ADMIN"));
        //自定義用戶
        OAuthUser oAuthUser = new OAuthUser("admin", "admin123");
        manager.createUser(oAuthUser);
        return manager;
    }
    
    /**
     * 配置密碼編碼器， 不需加密
     * @return
     */
    @Bean
    public static NoOpPasswordEncoder passwordEncoder() {
        return (NoOpPasswordEncoder) NoOpPasswordEncoder.getInstance();
    }
    
    ...

}

采用內(nèi)存模式管理用戶對(duì)象InMemoryUserDetailsManager， 自定義認(rèn)證用戶名和密碼， 分別為admin，admin123。 需要配置密碼編碼器， 可以支持自定義密碼加密方式， 這里不需加密， 配置NoOpPasswordEncoder。

4.4 自定義登陸成功處理器

Spring Security 提供了接口， 登陸成功， 可以通過處理器實(shí)現(xiàn)自定義邏輯。 新建com.mirson.spring.boot.security.integrate.handler.SecuritySuccessHandler

@Component
@Log4j2
public class SecuritySuccessHandler extends SimpleUrlAuthenticationSuccessHandler {

    @Autowired
    private ObjectMapper objectMapper;

    /**
     * 認(rèn)證成功處理
     * @param request
     * @param response
     * @param authentication
     * @throws IOException
     * @throws ServletException
     */
    @Override
    public void onAuthenticationSuccess(HttpServletRequest request,
                                        HttpServletResponse response, Authentication authentication) throws IOException, ServletException {

        log.info("Process in SecuritySuccessHandler ==> login success.");
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().write(objectMapper.writeValueAsString(authentication));
    }
}

這里通過自定義登陸成功處理器， 將登陸成功的信息返回客戶端。

將處理器加入到自定義配置SpringSecurityConfiguration中：

	@Override
    protected void configure(HttpSecurity http) throws Exception {
       http
               .authorizeRequests()
               .antMatchers("/user/doUserLogin", "/user/userLoginForm",
                       "/css/**").permitAll()
               .antMatchers("/user/getUserInfo").authenticated() //hasRole("ADMIN")
               .and()
               .formLogin()
               .loginPage("/user/userLoginForm")    //自定義登錄頁面
               .loginProcessingUrl("/user/doUserLogin") // 自定義登陸處理地址
               .successHandler(securitySuccessHandler)  // 自定義登陸成功處理器
               .permitAll()            //允許所有人訪問該路由
               .and()
               .csrf()
               .disable()                //暫時(shí)禁用csrc否則無法提交
               .httpBasic();
    }

4.5 自定義登陸失敗處理器

如果登陸失敗， 也可以通過處理器實(shí)現(xiàn)自定義邏輯。 新建com.mirson.spring.boot.security.integrate.handler.SecurityFailureHandler

@Component
@Log4j2
public class SecurityFailureHandler extends SimpleUrlAuthenticationFailureHandler {

    @Autowired
    private ObjectMapper objectMapper;

    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response,
                                        AuthenticationException exception) throws IOException, ServletException {

        log.info("Process in SecurityFailureHandler ==> login failure.");
        response.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().write(objectMapper.writeValueAsString(exception.getMessage()));
    }
}

將登陸失敗的錯(cuò)誤信息， 返回給客戶端。

修改自定義配置SpringSecurityConfiguration：

@Override
    protected void configure(HttpSecurity http) throws Exception {
       http
               .authorizeRequests()
               .antMatchers("/user/doUserLogin", "/user/userLoginForm",
                       "/css/**").permitAll()
               .antMatchers("/user/getUserInfo").authenticated() //hasRole("ADMIN")
               .and()
               .formLogin()
               .loginPage("/user/userLoginForm")    //自定義登錄頁面
               .loginProcessingUrl("/user/doUserLogin") // 自定義登陸處理地址
               .successHandler(securitySuccessHandler)  // 自定義登陸成功處理器
               .failureHandler(securityFailureHandler)  // 自定義登陸失敗處理器
               .permitAll()            //允許所有人訪問該路由
               .and()
               .csrf()
               .disable()                //暫時(shí)禁用csrc否則無法提交
               .httpBasic();
    }

4.6 自定義鑒權(quán)功能驗(yàn)證

1、驗(yàn)證內(nèi)存模式鑒權(quán)

內(nèi)存模式我們?cè)O(shè)置的用戶名和密碼為admin/admin123

默認(rèn)配置文件是admin/admin

輸入admin/admin123， 成功登陸， 內(nèi)存模式已生效。

2、登陸成功處理器驗(yàn)證

重啟服務(wù)， 訪問獲取用戶信息接口， http://127.0.0.1:22618/user/getUserInfo

默認(rèn)是會(huì)跳轉(zhuǎn)到登陸頁面， 如果沒配置登陸成功處理器， 登陸成功后， 會(huì)進(jìn)入上一次訪問頁面

可以看到， 登陸成功后， 并沒有跳轉(zhuǎn)到上一次訪問的用戶信息接口， 而是返回了登陸成功處理器的結(jié)果。

3、登陸失敗處理器驗(yàn)證

同樣， 問獲取用戶信息接口， http://127.0.0.1:22618/user/getUserInfo， 會(huì)自動(dòng)跳轉(zhuǎn)到登陸頁面。

采用錯(cuò)誤的用戶密碼， 返回了登陸失敗處理器的結(jié)果。

5. 總結(jié)

Spring Security 提供了鑒權(quán)與授權(quán)的功能支持， 這里做了詳細(xì)講解， 如何使用與配置， 并講解了自定義鑒權(quán)處理功能， 實(shí)際業(yè)務(wù)當(dāng)中，并非一層不變， 會(huì)做不同配置修改，比如自定義資源訪問配置， 不同項(xiàng)目有不同的要求， 掌握這些自定義配置， 基本可以覆蓋主要的業(yè)務(wù)場(chǎng)景， 針對(duì)更復(fù)雜的鑒權(quán)， 可以采用oauth2做鑒權(quán)處理， 在后續(xù)教程中會(huì)做講解。

教程源碼下載地址： https://download.csdn.net/download/hxx688/86400104