SpringBoot的安全

常用框架：Shrio,SpringSecurity

两个功能：

• Authentication 认证
• Authorization 授权

权限：

• 功能权限
• 访问权限
• 菜单权限

原来用拦截器、过滤器来做，代码较多。现在用框架。

SpringSecurity

只要引入就可以使用

可以在官网看教程

几个重要的类：

• WebSecurityConfigurerAdapter 自定义Security策略
• AuthenticationManagerBuilder 自定义认证策略
• @EnableWebSercurity

基本操作

springboot 2.7.0前

继承WebSecurityConfigurerAdapter

重写configure(HttpSecurity http)方法——授权

使用链式编程

第一个小例子：

http.authorizeRequests()							//自定义权限控制
    .antMatchers("/").permitAll()					//所有人可以访问首页
    .addMatchers("/vip1").hasRole("vip1");			//vip1可以访问
//登录，也可以使用and()拼接
http.fromLogin();									//没有权限会自动跳转到登录页面，即使没有写过/login

源码：默认的login和login?error

重写Configure(AuthenticationManagerBuilder auth)方法——认证

2.7.0版本后，WebSecurityConfigurerAdapter被弃用

上面配置好了什么权限可以做什么事情，这里则用来做登录控制和权限查询操作

protected void configure(AuthenticationManagerBuilder auth){
    //因为反编译，新版要求所有密码必须加密
    BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
    //JDBC认证	例子为blog_system
    auth.jdbcAuthentication().passwordEncoder(encoder)
                .dataSource(dataSource)
                .usersByUsernameQuery(userSQL)				//通过username、password、enabled登录控制
                .authoritiesByUsernameQuery(authoritySQL);		//通过用户名、权限（在查询的第二列）获取role
    //内存认证	例子来自狂神说课堂笔记，没用数据库的例子
    auth.inMemoryAuthentication().passwordEncoder(encoder)								
        .withUSer("name").password( new BCryptPasswordEncoder("123456")).roles("vip2","vip3")
        .and()	//通过and拼接其他用户
        .withUSer("name2").password(new BCryptPasswordEncoder("123456")).roles("vip2","vip3");
    
    //自定义认证规则，接受Service参数	例子来自VBlog
    auth.userDetailsService(userService);
}

上面的最后一种方式：UserService继承UserDetailService，并重写方法

@Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        User user = userMapper.loadUserByUsername(s);
        if (user == null) {
            //避免返回null，这里返回一个不含有任何值的User对象，在后期的密码比对过程中一样会验证失败
            return new User();
        }
        //查询用户的角色信息，并返回存入user中
        List<Role> roles = rolesMapper.getRolesByUid(user.getId());
        user.setRoles(roles);					
        return user;
    }

登录之后若没权限，就是跳转到没权限界面了

基于方法的动态权限

将用户的权限保存在数据库中，并实现动态权限控制。

在配置类上使用@EnableGlobalMethodSecurity来开启它；

然后在方法中使用@PreAuthorize配置访问接口需要的权限；

@PreAuthorize("hasAuthority('pms:product:create')")

权限字符串自定。
再从数据库中查询出用户所拥有的权限值设置到UserDetails对象中去。

ruoyi项目使用了这种方法

缺点：方法权限写死在代买里了，不好维护。也可以通过过滤器、拦截器实现，

@Since 2.7.0 新用法

新用法非常简单，无需再继承WebSecurityConfigurerAdapter，只需直接声明配置类，再配置一个生成SecurityFilterChainBean的方法，把原来的HttpSecurity配置移动到该方法中即可。

/**
 * SpringSecurity 5.4.x以上新用法配置
 * 为避免循环依赖，仅用于配置HttpSecurity
 * Created by macro on 2022/5/19.
 */
@Configuration
public class SecurityConfig {

    @Bean
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        //省略HttpSecurity的配置
        return httpSecurity.build();
    }

}

Security上下文

UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(authentication);

注销

前端请求/logout

http.logout();
//会请求/logout，可以自定义url。默认回到/login?logout
//看源码，可以清空cookies和session
http.logout().logoutUrl("/")	//注销成功回首页
    .csrf().disable()			//关闭防止csrf攻击	csrf:跨站请求攻击，可能屏蔽get。

模板引擎相关功能

页面定制

登录：loginPage(“”)，改完之后默认的login就没有了

点进去看源码

/*
.formLogin(formLogin ->
	 * 				formLogin
	 * 					.usernameParameter( username )			//默认
	 * 					.passwordParameter( password )
	 * 					.loginPage( /authentication/login )		登录路由
	 * 					.failureUrl(/authentication/login?failed)
	 * 					.loginProcessingUrl( /authentication/login/process )	登陆验证页面
	 * 			);
*/

“记住我”功能

http.rememberMe();	//登录页会有“记住我”	保存cookie	默认14天

Shiro

Apache 开源框架

三大对象：

• Subject 用户
• SecurityManager 管理用户
• Realm 连接数据

Subject：主体，代表了当前 “用户”，与当前应用交互的任何东西都是 Subject，如网络爬虫，人等；即一个抽象概念；所有 Subject 都绑定到 SecurityManager，与 Subject 的所有交互都会委托给 SecurityManager；可以把 Subject 认为是一个门面；SecurityManager 才是实际的执行者；

SecurityManager：安全管理器；即所有与安全有关的操作都会与 SecurityManager 交互；且它管理着所有 Subject；可以看出它是 Shiro 的核心，它负责与后边介绍的其他组件进行交互，如果学习过 SpringMVC，你可以把它看成 DispatcherServlet 前端控制器；

Realm：域，Shiro 从 Realm 获取安全数据（如用户、角色、权限），就是说 SecurityManager 要验证用户身份，那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法；也需要从 Realm 得到用户相应的角色 / 权限进行验证用户是否能进行操作；可以把 Realm 看成 DataSource，即安全数据源。

也就是说对于我们而言，最简单的一个 Shiro 应用：

1. 应用代码通过 Subject 来进行认证和授权，而 Subject 又委托给 SecurityManager；
2. 我们需要给 Shiro 的 SecurityManager 注入 Realm，从而让 SecurityManager 能得到合法的用户及其权限进行判断。

    <!--shiro依赖- SSM-->
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-core</artifactId>
      <version>1.2.4</version>
    </dependency>
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-web</artifactId>
      <version>1.2.4</version>
    </dependency>
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-spring</artifactId>
      <version>1.2.4</version>
    </dependency>

shiro-web提供了Web集成的支持，其通过一个 ShiroFilter 入口来拦截需要安全控制的 URL，然后进行相应的控制

1.编写配置类

@Configuration
public class ShiroConfig{
    //ShiroFilterFactoryBean
    @Bean
    public ShiroFilterFactoryBean hetShiroFilterFactoryBean(@Qualifier DefaultWebSercurityManager defaultWebSercurityManager){
 	ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defau+ltWebSercurityManager);
        Map<String,String> filterMap = new LinkedHashMap<>();
        
        filterMap.put("","authc")
        return bean;
    }
    
    //DefaultWebSercurityManager
    @Bean
    public DefaultWebSercurityManager getDefaultWebSercurityManager(@Qualifier("userRealm") UserRealm userRealm){
        DefaultWebSercurityManager sercurityManager new DefaultWebSercurityManager();
        securityManager.setRealm(userRealm);
        return sercurityManager;
    }
    
    //Realm	自定义
    @Bean
    public Realm userRealm(){
        return new UserRealm();
    }
}

public UserRealm extends AuthorizingRealm{
    
   	@Override
	protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
		// 用户名
		String username = (String) token.getPrincipal();
		// 密码
		String password = new String((char[]) token.getCredentials());
		Userlogin userlogin = null;
		try {
			userlogin = userloginService.findByName(username);
		} catch (Exception e) {
			e.printStackTrace();
		}
        
		if (userlogin == null) {
			// 没有该用户名
			throw new UnknownAccountException();
		} else if (!password.equals(userlogin.getPassword())) {
			// 密码错误
			throw new IncorrectCredentialsException();
		}
		// 身份验证通过,返回一个身份信息
		AuthenticationInfo aInfo = new SimpleAuthenticationInfo(username, password, getName());

		return aInfo;
	}
}

2.登录控制

//登录表单处理
    @RequestMapping(value = "/login", method = {RequestMethod.POST})
    public String login(Userlogin userlogin) throws Exception {

        //Shiro实现登录
        UsernamePasswordToken token = new UsernamePasswordToken(userlogin.getUsername(),
                userlogin.getPassword());
        Subject subject = SecurityUtils.getSubject();

        //如果获取不到用户名就是登录失败，但登录失败的话，会直接抛出异常
        //登录
        subject.login(token);

        if (subject.hasRole("admin")) {
            return "redirect:/admin/showStudent";
        } else if (subject.hasRole("teacher")) {
            return "redirect:/teacher/showCourse";
        } else if (subject.hasRole("student")) {
            return "redirect:/student/showCourse";
        }

        return "/login";
    }