springboot基于spring security搭建后台管理系统 springboot security 配置

SpringSecurity的基本配置

SpringBoot针对SpringSecurity提供了自动化配置方案，因此可以使SpringSecurity非常容易地整合进SpringBoot项目中，这也是在SpringBoot项目中使用SpringSecurity的优势。

基本用法

1. 创建项目，添加依赖：

<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

2. 添加hello接口：

@RestController
public class HelloController {

    @GetMapping("/hello")
    public String hello(){
        return "Hello";
    }
}

3. 启动项目测试：

访问/hello接口会自动跳转到登录页面，这个登录页面是由SpringSecutiry提供的：

默认的用户名是user，默认的登录密码则在每次启动项目时随机生成：

配置用户名和密码

可以在application.properties中配置默认的用户名、密码以及用户角色：

spring.security.user.name=sang
spring.security.user.password=123
spring.security.user.roles=admin

当开发者在application.properties中配置了默认的用户名和密码后，再次启动项目，项目启动日志就不会打印出随机生成的密码了，用户可直接使用配置好的用户名和密码登录，登录成功后，用户还具有一个角色——admin。

基于内存的认证

开发者也可以自定义类继承自WebSecurityConfigurerAdapter，进而实现对SpringSecurity更多的自定义配置，例如基于内存的认证，配置方式如下：

//自定义MyWebSecurityConfig继承WebSecurityConfigurerAdapter
@Configuration
public class MyWebSecurityConfig extends WebSecurityConfigurerAdapter {
    
    //指定不对密码进行加密
    @Bean
    PasswordEncoder passwordEncoder(){
        return NoOpPasswordEncoder.getInstance();
    }

    /*
        重写configure(AuthenticationManagerBuilder auth)
            配置两个用户：
                1. 用户名：admin，密码：123，角色：ADMIN和USER
                2. 用户名：sang，密码：123，角色：USER
     */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("admin").password("123").roles("ADMIN", "USER")
                .and()
                .withUser("sang").password("123").roles("USER");
    }
}

配置完成后，重启项目，就可以使用这里配置的两个用户进行登录了。

HttpSecurity

虽然现在可以实现认证功能，但是受保护的资源都是默认的，而且也不能根据实际情况进行角色管理，如果要实现这些功能，就需要重写WebSecurityConfigurerAdapter中的另一个方法：

@Configuration
public class MyWebSecurityConfig2 extends WebSecurityConfigurerAdapter {
    
    @Bean
    PasswordEncoder passwordEncoder(){
        return NoOpPasswordEncoder.getInstance();
    }
    
    
    /*
    配置三个用户：
          1. root用户具备ADMIN和DBA角色
          2. admin具备ADMIN和USER角色
          3. sang具备USER角色
    */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("root").password("123").roles("ADMIN", "DBA")
                .and()
                .withUser("admin").password("123").roles("ADMIN", "USER")
                .and()
                .withUser("sang").password("123").roles("USER");
    }

    
    /*
        1. 用户访问"/admin/**"必须具备ADMIN角色
        2. 用户访问"/user/**"必须具备ADMIN或者USER角色
        3. 用户访问"/db/**"必须具备ADMIN和DBA的角色
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //开启HttpSecurity的配置
        http.authorizeRequests()
                .antMatchers("/admin/**")
                .hasRole("ADMIN")
                .antMatchers("/user/**")
                .access("hasAnyRole('ADMIN', 'USER')")
                .antMatchers("/db/**")
                .access("hasRole('ADMIN') and hasRole('DBA')")
                .anyRequest()//除了前面定义的URL模式之外，用户访问其它的URL都必须认证后访问
                .authenticated()
                .and()
                .formLogin()//开启表单登录，配置登录接口为"/login"，可以直接调用"/login"接口，发起一个POST请求进行登录，参数中用户名必须为username，密码必须为password
                .loginProcessingUrl("/login")
                .permitAll()//和登录相关的接口都不要认证即可访问
                .and()
                .csrf()//关闭csrf
                .disable();
    }
}

在Controller添加如下接口进行测试：

@RestController
public class HelloController {

    @GetMapping("/hello")
    public String hello(){
        return "Hello";
    }
    
    @GetMapping("/admin/hello")
    public String admin(){
        return "hello admin!";
    }
    
    @GetMapping("/user/hello")
    public String user(){
        return "hello user!";
    }
    
    @GetMapping("/db/hello")
    public String dba(){
        return "hello dba!";
    }
}

测试结果：

• "/admin/hello"接口：root和admin用户具有访问权限
• "/user/hello"接口：admin和sang用户具有访问权限
• "/db/hello"接口：只有root用户具有访问权限