SpringBoot整合Spring Security的详细教程

好好学习，天天向上

本文已收录至我的github仓库daydayup：github.com/robodlee/daydayup，欢迎star，更多文章请前往：目录导航

前言

spring security是一个功能强大且高度可定制的身份验证和访问控制框架。提供了完善的认证机制和方法级的授权功能。是一款非常优秀的权限管理框架。它的核心是一组过滤器链，不同的功能经由不同的过滤器。这篇文章就是想通过一个小案例将spring security整合到springboot中去。要实现的功能就是在认证服务器上登录，然后获取token，再访问资源服务器中的资源。

基本概念

单点登录

什么叫做单点登录呢。就是在一个多应用系统中，只要在其中一个系统上登录之后，不需要在其它系统上登录也可以访问其内容。举个例子，京东那么复杂的系统肯定不会是单体结构，必然是微服务架构，比如订单功能是一个系统，交易是一个系统......那么我在下订单的时候登录了，付钱难道还需要再登录一次吗，如果是这样，用户体验也太差了吧。实现的流程就是我在下单的时候系统发现我没登录就让我登录，登录完了之后系统返回给我一个token，就类似于身份证的东西；然后我想去付钱的时候就把token再传到交易系统中，然后交易系统验证一下token就知道是谁了，就不需要再让我登录一次。

jwt

上面提到的token就是jwt(json web token)，是一种用于通信双方之间传递安全信息的简洁的、url安全的表述性声明规范。一个jwt实际上就是一个字符串，它由三部分组成，头部、载荷与签名。为了能够直观的看到jwt的结构，我画了一张思维导图：

最终生成的jwt令牌就是下面这样，有三部分，用 . 分隔。

base64urlencode(jwt 头)+"."+base64urlencode(载荷)+"."+hmacsha256(base64urlencode(jwt 头) + "." + base64urlencode(有效载荷),密钥)

eyjhbgcioijiuzi1niisinr5cci6ikpxvcj9.eyjzdwiioiixmjm0nty3odkwiiwibmftzsi6ikpvag4grg9liiwiywrtaw4ionrydwv9.tjva95orm7e2cbab30rmhrhdcefxjoyzgefonfh7hgq

rsa

从上面的例子中可以看出，jwt在加密解密的时候都用到了同一个密钥 “ robod666 ”，这将会带来一个弊端，如果被黑客知道了密钥的内容，那么他就可以去伪造token了。所以为了安全，我们可以使用非对称加密算法rsa。

rsa的基本原理有两点：

• 私钥加密，持有私钥或公钥才可以解密
• 公钥加密，持有私钥才可解密

认证服务器用户登录功能

前期准备

介绍完了基本概念之后就可以开始整合了，受限于篇幅，只贴最核心的代码，其它内容请小伙伴们去源码中找，地址在文末。 首先需要准备好数据库：

-- ----------------------------
-- table structure for sys_role
-- ----------------------------
drop table if exists `sys_role`;
create table `sys_role` (
 `id` int(11) not null auto_increment comment '编号',
 `role_name` varchar(30) character set utf8 collate utf8_general_ci null default null comment '角色名称',
 `role_desc` varchar(60) character set utf8 collate utf8_general_ci null default null comment '角色描述',
 primary key (`id`) using btree
) engine = innodb auto_increment = 6 character set = utf8 collate = utf8_general_ci row_format = compact;

-- ----------------------------
-- records of sys_role
-- ----------------------------
insert into `sys_role` values (1, 'role_user', '基本角色');
insert into `sys_role` values (2, 'role_admin', '超级管理员');
insert into `sys_role` values (3, 'role_product', '管理产品');
insert into `sys_role` values (4, 'role_order', '管理订单');

-- ----------------------------
-- table structure for sys_user
-- ----------------------------
drop table if exists `sys_user`;
create table `sys_user` (
 `id` int(11) not null auto_increment,
 `username` varchar(32) character set utf8 collate utf8_general_ci not null comment '用户名称',
 `password` varchar(120) character set utf8 collate utf8_general_ci not null comment '密码',
 `status` int(1) null default 1 comment '1开启0关闭',
 primary key (`id`) using btree
) engine = innodb auto_increment = 4 character set = utf8 collate = utf8_general_ci row_format = compact;

-- ----------------------------
-- records of sys_user
-- ----------------------------
insert into `sys_user` values (1, 'xiaoming', '$2a$10$cyx9omv0yo8wr8re19n2foaxdjondci5ur68k2eqjm50q8essdmlc', 1);
insert into `sys_user` values (2, 'xiaoma', '$2a$10$cyx9omv0yo8wr8re19n2foaxdjondci5ur68k2eqjm50q8essdmlc', 1);

-- ----------------------------
-- table structure for sys_user_role
-- ----------------------------
drop table if exists `sys_user_role`;
create table `sys_user_role` (
 `uid` int(11) not null comment '用户编号',
 `rid` int(11) not null comment '角色编号',
 primary key (`uid`, `rid`) using btree,
 index `fk_reference_10`(`rid`) using btree,
 constraint `fk_reference_10` foreign key (`rid`) references `sys_role` (`id`) on delete restrict on update restrict,
 constraint `fk_reference_9` foreign key (`uid`) references `sys_user` (`id`) on delete restrict on update restrict
) engine = innodb character set = utf8 collate = utf8_general_ci row_format = compact;

-- ----------------------------
-- records of sys_user_role
-- ----------------------------
insert into `sys_user_role` values (1, 1);
insert into `sys_user_role` values (2, 1);
insert into `sys_user_role` values (1, 3);
insert into `sys_user_role` values (2, 4);

set foreign_key_checks = 1;

一共三张表，分别是用户表，角色表，用户-角色表。用户是登录用的，密码其实就是加密过的字符串，内容是“ 123 ”；角色是做权限控制时用的。

然后创建一个空的父工程springsecuritydemo，然后在父工程里面创建一个module作为认证服务，名叫authentication_server。添加必要的依赖。（内容较占篇幅，有需要的去源码中获取，源码地址见文末）。

项目的配置文件内容截取了核心的部分贴在下面：

…………
# 配置了公钥和私钥的位置
rsa:
 key:
 pubkeypath: c:\users\robod\desktop\auth_key\id_key_rsa.pub
 prikeypath: c:\users\robod\desktop\auth_key\id_key_rsa

最后的公私钥的标签是自定义的，并不是spring提供的标签，后面我们会在rsa的配置类中去加载这一部分内容。

为了方便起见，我们还可以准备几个工具类（内容较占篇幅，有需要的去源码中获取，源码地址见文末）：

• jsonutils：提供了json相关的一些操作；
• jwtutils：生成token以及校验token相关方法；
• rsautils：生成公钥私钥文件，以及从文件中读取公钥私钥。

我们可以将载荷单独封装成一个对象：

@data
public class payload<t> {
 private string id;
 private t userinfo;
 private date expiration;
}

现在再去写一个测试类，调用rsautils中的相应方法去生成公钥和私钥。那公钥私钥生成好了在使用的时候是怎么获取的呢？为了解决这个问题，我们需要创建一个rsa的配置类，

@data
@configurationproperties("rsa.key") //指定配置文件的key
public class rsakeyproperties {

 private string pubkeypath;

 private string prikeypath;

 private publickey publickey;
 private privatekey privatekey;

 @postconstruct
 public void createkey() throws exception {
 this.publickey = rsautils.getpublickey(pubkeypath);
 this.privatekey = rsautils.getprivatekey(prikeypath);
 }
}

首先我们使用了@configurationproperties注解去指定公钥私钥路径的key，然后在构造方法中就可以去获取到公钥私钥的内容了。这样在需要公钥私钥的时候就可以直接调用这个类了。但是不放入spring容器中怎么调用这个类，所以在启动类中添加一个注解：

@enableconfigurationproperties(rsakeyproperties.class)

这表示把rsa的配置类放入spring容器中。

用户登录

在实现用户登录的功能之前，先说一下登录的相关内容。关于登录流程我在网上看了篇文章感觉挺好的，贴出来给小伙伴们看看：

首先会进入usernamepasswordauthenticationfilter并且设置权限为null和是否授权为false，然后进入providermanager查找支持usernamepasswordauthenticationtoken的provider并且调用provider.authenticate(authentication);再然后就是userdetailsservice接口的实现类（也就是自己真正具体的业务了），这时候都检查过了后，就会回调usernamepasswordauthenticationfilter并且设置权限（具体业务所查出的权限）和设置授权为true（因为这时候确实所有关卡都检查过了）。

在上面这段话中，提到了一个usernamepasswordauthenticationfilter，我们一开始进入的就是这个过滤器的attemptauthentication()方法，但是这个方法是从form表单中获取用户名密码，和我们的需求不符，所以我们需要重写这个方法。然后经过一系列的周转，进入到了userdetailsservice.loaduserbyusername()方法中，所以我们为了实现自己的业务逻辑，需要去实现这个方法。这个方法返回的是一个userdetails接口对象，如果想返回自定义的对象，可以去实现这个接口。最终用户验证成功之后，调用的是usernamepasswordauthenticationfilter的父类abstractauthenticationprocessingfilter.successfulauthentication()方法，我们也需要去重写这个方法去实现我们自己的需求。

所以现在就来实现一下上面说的这些东西吧????

@data
public class sysuser implements userdetails {

 private integer id;
 private string username;
 private string password;
 private integer status;
 private list<sysrole> roles = new arraylist<>();	//sysrole封装了角色信息，和登录无关，我放在后面讲

	//这里还有几个userdetails中的方法，我就不贴代码了

}

我们自定义了一个sysuser类去实现userdetails接口，然后添加了几个自定义的字段☝

public interface userservice extends userdetailsservice {
}
//-----------------------------------------------------------
@service("userservice")
public class userserviceimpl implements userservice {
	…………
 @override
 public userdetails loaduserbyusername(string username) throws usernamenotfoundexception {
 sysuser sysuser = usermapper.findbyusername(username);
 return sysuser;
 }
}

在☝这段代码中，我们先定义了一个接口userservice去继承userdetailsservice，然后用userserviceimpl实现了userservice，就相当于userserviceimpl实现了userdetailsservice，这样我们就可以去实现loaduserbyusername()方法，内容很简单，就是用用户名去数据库中查出对应的sysuser，然后具体的验证流程就可以交给其它的过滤器去实现了，我们就不用管了。

前面提到了需要去重写attemptauthentication()和successfulauthentication()方法，那就自定义一个过滤器去继承usernamepasswordauthenticationfilter然后重写这两个方法吧????

public class jwtloginfilter extends usernamepasswordauthenticationfilter {

 private authenticationmanager authenticationmanager;
 private rsakeyproperties rsakeyproperties;

 public jwtloginfilter(authenticationmanager authenticationmanager, rsakeyproperties rsakeyproperties) {
 this.authenticationmanager = authenticationmanager;
 this.rsakeyproperties = rsakeyproperties;
 }

 //这个方法是用来去尝试验证用户的
 @override
 public authentication attemptauthentication(httpservletrequest request, httpservletresponse response) throws authenticationexception {
 try {
  sysuser user = jsonobject.parseobject(request.getinputstream(),sysuser.class);
  return authenticationmanager.authenticate(
   new usernamepasswordauthenticationtoken(
    user.getusername(),
    user.getpassword())
  );
 } catch (exception e) {
  try {
  response.setcontenttype("application/json;charset=utf-8");
  response.setstatus(httpservletresponse.sc_unauthorized);
  printwriter out = response.getwriter();
  map<string, object> map = new hashmap<>();
  map.put("code", httpservletresponse.sc_unauthorized);
  map.put("message", "账号或密码错误！");
  out.write(new objectmapper().writevalueasstring(map));
  out.flush();
  out.close();
  } catch (exception e1) {
  e1.printstacktrace();
  }
  throw new runtimeexception(e);
 }
 }

 //成功之后执行的方法
 @override
 public void successfulauthentication(httpservletrequest request, httpservletresponse response, filterchain chain, authentication authresult) throws ioexception, servletexception {
 sysuser sysuser = new sysuser();
 sysuser.setusername(authresult.getname());
 sysuser.setroles((list<sysrole>) authresult.getauthorities());
 string token = jwtutils.generatetokenexpireinminutes(sysuser,rsakeyproperties.getprivatekey(),24*60);
 response.addheader("authorization", "robodtoken " + token);	//将token信息返回给用户
 try {
  //登录成功时，返回json格式进行提示
  response.setcontenttype("application/json;charset=utf-8");
  response.setstatus(httpservletresponse.sc_ok);
  printwriter out = response.getwriter();
  map<string, object> map = new hashmap<string, object>(4);
  map.put("code", httpservletresponse.sc_ok);
  map.put("message", "登陆成功！");
  out.write(new objectmapper().writevalueasstring(map));
  out.flush();
  out.close();
 } catch (exception e1) {
  e1.printstacktrace();
 }
 }
}

代码的逻辑还是很清晰的，我就不去讲解了。

现在重点来了，spring security怎么知道我们要去调用自己的userservice和自定义的过滤器呢？所以我们需要配置一下，这也是使用spring security的一个核心——>配置类????

@configuration
@enablewebsecurity //这个注解的意思是这个类是spring security的配置类
public class websecurityconfig extends websecurityconfigureradapter {
	…………
 @bean
 public bcryptpasswordencoder passwordencoder() {
 return new bcryptpasswordencoder();
 }

 //认证用户的来源
 @override
 protected void configure(authenticationmanagerbuilder auth) throws exception {
 auth.userdetailsservice(userservice).passwordencoder(passwordencoder());
 }

 //配置springsecurity相关信息
 @override
 public void configure(httpsecurity http) throws exception {
 http.csrf().disable() //关闭csrf
  .addfilter(new jwtloginfilter(super.authenticationmanager(),rsakeyproperties))
  .sessionmanagement().sessioncreationpolicy(sessioncreationpolicy.stateless); //禁用session
 }

}

在配置类中，配置了认证用户的来源和添加了自定义的过滤器。这样就可以实现登录的功能了。

可以看到，现在已经成功登录了，但是这个/login是从哪儿来的呢，这个是spring security自己提供的，用户名的键必须是”username“，密码的键必须是 ”password“，提交方式必须是post。

总结一下，实现登录的功能需要做哪些操作：

• 认证用户实现userdetails接口
• 用户来源的service实现userdetailsservice接口，实现loaduserbyusername()方法，从数据库中获取数据
• 实现自己的过滤器继承usernamepasswordauthenticationfilter，重写attemptauthentication()和successfulauthentication()方法实现自己的逻辑
• spring security的配置类继承自websecurityconfigureradapter，重写里面的两个config()方法
• 如果使用rsa非对称加密，就准备好rsa的配置类，然后在启动类中加入注解将其加入ioc容器中

资源服务器权限校验

在这一小节，我们要实现去访问资源服务器中的资源，并进行鉴权的操作。在父工程springseciritydemo中再创建一个模块recourse_server。因为我们现在并不需要从数据库中获取用户信息。所以就不需要自己去定义service和mapper了。也不需要登录的过滤器了。下面这张目录结构图是资源服务工程所需要的所有东西。

sysrole上一节中用到了但是没有详细说明。这个类是用来封装角色信息的，做鉴权的时候用的，实现了grantedauthority接口：

@data
public class sysrole implements grantedauthority {

 private integer id;
 private string rolename;
 private string roledesc;

 /**
 * 如果授予的权限可以当作一个string的话，就可以返回一个string
 * @return
 */
 @jsonignore
 @override
 public string getauthority() {
 return rolename;
 }

}

里面实现了getauthority方法，直接返回rolename即可。rolename是角色名。

客户端将token传到资源服务器中，服务器需要对token进行校验并取出其中的载荷信息。所以我们可以自定义一个过滤器继承自basicauthenticationfilter，然后重写dofilterinternal()方法，实现自己的逻辑。

public class jwtverifyfilter extends basicauthenticationfilter {
	…………
 @override
 protected void dofilterinternal(httpservletrequest request, httpservletresponse response, filterchain chain)
  throws ioexception, servletexception {
 string header = request.getheader("authorization");
 //没有登录
 if (header == null || !header.startswith("robodtoken ")) {
  chain.dofilter(request, response);
  response.setcontenttype("application/json;charset=utf-8");
  response.setstatus(httpservletresponse.sc_forbidden);
  printwriter out = response.getwriter();
  map<string, object> map = new hashmap<string, object>(4);
  map.put("code", httpservletresponse.sc_forbidden);
  map.put("message", "请登录！");
  out.write(new objectmapper().writevalueasstring(map));
  out.flush();
  out.close();
  return;
 }
 //登录之后从token中获取用户信息
 string token = header.replace("robodtoken ","");
 sysuser sysuser = jwtutils.getinfofromtoken(token, rsakeyproperties.getpublickey(), sysuser.class).getuserinfo();
 if (sysuser != null) {
  authentication authresult = new usernamepasswordauthenticationtoken
   (sysuser.getusername(),null,sysuser.getauthorities());
  securitycontextholder.getcontext().setauthentication(authresult);
  chain.dofilter(request, response);
 }
 }
}

在这段代码中，先是从请求头中获取"authorization"的值，如果值未null或者不是以我们规定的 “robodtoken ” 开头就说明不是我们设置的token，就是没登录，提示用户登录。有token的话就调用jwtutils.getinfofromtoken()去验证并获取载荷的内容。验证通过的话就在authentication的构造方法中把角色信息传进去，然后交给其它过滤器去执行即可。

私钥应该只保存在认证服务器中，所以资源服务器中只要存公钥就可以了。

…………
rsa:
 key:
 pubkeypath: c:\users\robod\desktop\auth_key\id_key_rsa.pub

@data
@configurationproperties("rsa.key") //指定配置文件的key
public class rsakeyproperties {

 private string pubkeypath;

 private publickey publickey;

 @postconstruct
 public void createkey() throws exception {
 this.publickey = rsautils.getpublickey(pubkeypath);
 }
}

接下来就是spring security核心的配置文件了????

@configuration
@enablewebsecurity
@enableglobalmethodsecurity(securedenabled = true) //开启权限控制的注解支持,securedenabled表示springsecurity内部的权限控制注解开关
public class websecurityconfig extends websecurityconfigureradapter {
	…………
 //配置springsecurity相关信息
 @override
 public void configure(httpsecurity http) throws exception {
 http.csrf().disable() //关闭csrf
  .authorizerequests()
  .antmatchers("/**").hasanyrole("user") //角色信息
  .anyrequest() //其它资源
  .authenticated() //表示其它资源认证通过后
  .and()
  .addfilter(new jwtverifyfilter(super.authenticationmanager(),rsakeyproperties))
  .sessionmanagement().sessioncreationpolicy(sessioncreationpolicy.stateless); //禁用session
 }

}

这里面有个注解 @enableglobalmethodsecurity(securedenabled = true)，这个注解的意思是开启权限控制的注解支持。然后添加了自定义的token解析过滤器。最后在需要进行权限控制的方法上添加注解即可????

@restcontroller
@requestmapping("/product")
public class productcontroller {

 @secured("role_product")
 @requestmapping("/findall")
 public string findall() {
 return "产品列表查询成功";
 }

}

好了，这样findall方法就需要有"role_product"权限才能访问。我们来测试一下：

登录成功之后，响应头中有服务器返回的token信息，把它复制下来，然后添加到我们请求的请求头中。

可以看到，现在已经成功访问到资源了。再来换个没有权限的用户登录测试一下：

请求被拒绝了，说明权限控制功能是没有问题的。总结一下步骤：

• 封装权限信息的类实现grantedauthority接口，并实现里面的getauthority()方法
• 实现自己的token校验过滤器继承自basicauthenticationfilter，并重写dofilterinternal()方法，实现自己的业务逻辑
• 编写spring security的配置类继承websecurityconfigureradapter，重写configure()方法添加自定义的过滤器，并添加@enableglobalmethodsecurity(securedenabled = true)注解开启注解权限控制的功能
• 如果使用rsa非对称加密，就准备好rsa的配置类，然后在启动类中加入注解将其加入ioc容器中，注意这里不要只要配置公钥即可

总结

springboot 整合 spring security到这里就结束了。文章只是简单的说了一下整合的流程，很多其它的东西都没有说，比如各个过滤器都有什么作用等。还有，这里采用的认证服务器和资源服务器分离的方式，要是集成在一起也是可以的。类似的问题还有很多，小伙伴们就自行研究吧。问了让文章不会太臃肿，很多代码都没有贴出来，有需要的小伙伴点击下面的链接就可以下载了。

点击下载源码

到此这篇关于springboot整合spring security的文章就介绍到这了,更多相关springboot整合spring security内容请搜索以前的文章或继续浏览下面的相关文章希望大家以后多多支持！