spring-boot-starter-security的简单使用方式
作者：龙茶清欢
基于配置文件使用security
首先引入两个必备的依赖
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>由于springboot对starter依赖进行了自动化的配置，即约定大于配置，也就是带有starter的依赖在整合springboot时，在我们不做任何配置时，默认使用starter约定的配置，只有当我们进行自定义配置时，springboot才会使用我们的配置
通过配置文件的方式在内存中配置一个用户
spring:
application:
name: spring-security
security:
user:
name: user
roles: admin
password: 123456
server:
port: 8848由于spring-boot-starter-security默认开启登录认证，所以我们需要新建一个TestController的controller类
@RestController
@RequestMapping("/test")
public class TestConteoller {
@GetMapping("/security")
public String security(){
return "test-spring-security登陆成功";
}
}启动应用并访问http://localhost:8848/test/security，我们会看到spring-boot-starter-security自带的登陆页面，输入我们在配置文件中配置的用户名称和密码，之后我们会在页面看到
test-spring-security登陆成功
基于配置类使用security
上面我们实现了基于配置文件的security简单配置，显然这样并不适用现实场景，下面我们见通过配置类的方式实现security的自定义配置
新建config文件夹并其中新建SecurityConfig配置类，让其继承WebSecurityConfigurerAdapter抽象类并重写两个configure方法，实现web环境下的security自定义配置
具体如下：
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
//自定义配置URL资源的权限控制
@Override
protected void configure(HttpSecurity http) throws Exception {
http.
//对所有请求进行权限认证
authorizeRequests()
//自定义配置请求地址权限
.mvcMatchers("/test/security").permitAll()
// permitAll() 对所有请求放行
.mvcMatchers("/admin/security").hasRole("admin")
.mvcMatchers("/user/security").hasRole("user")
.mvcMatchers("/tUser/selectAll").anonymous()
// anonymous() 允许匿名访问，登陆状态不能访问
.anyRequest().authenticated() //所有请求都需要进行认证
.and()
.formLogin()
//.loginPage("login") 自定义登陆页面
.permitAll() //所有用户都可以访问
.and()
.logout()
//.logoutUrl("logout") 自定义配置退出登陆页面
.permitAll();
}
//自定义配置认证规则
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
//spring内置了两种UserDetailManager实现，一种基于内存的InMemoryUserDetailsManager，另一种是基于数据库的JdbcUserDetailsManager
auth.
//使用内存中的InMemoryUserDetailsManager(内存用户管理器)
inMemoryAuthentication()
//不使用passwordEncoder密码加密
.passwordEncoder(NoOpPasswordEncoder.getInstance())
//在内存中给配置user用户
.withUser("admin").password("admin").roles("admin")
.and()
//在内存中配置admin用户
.withUser("user").password("user").roles("user");
}
}security配置类搞定之后，我们新建UserController和AdminController两个接口测试类
具体如下：
@RestController
@RequestMapping("/user")
public class UserController {
@GetMapping("/security")
public String security(){
return "user-spring-security登陆成功";
}
}
@RestController
@RequestMapping("/admin")
public class AdminController {
@GetMapping("/security")
public String security(){
return "admin-spring-security登陆成功";
}
}重新启动应用，并分别访问http://localhost/test/security、http://localhost/user/security、http://localhost/admin/security三个地址，我们会发现第一个地址不用登陆就能直接访问，第二个地址需要user角色权限，第三个地址需要admin角色权限；
需要注意的是，当我们访问第二个地址并使用user角色登录之后，我们访问第三个地址会报403错误，其原因是浏览器在我们使用user登录时缓存了user的登录会话信息即session状态，所以当我们登录第三个地址时浏览器会以user的登录状态去访问admin角色下的接口，显然这是访问不到的。
基于注解的方式实现对接口中方法的权限认证
首先在SecurityConfig配置类中添加@EnableGlobalMethodSecurity(prePostEnabled = true) 注解开启该功能
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true) //开启基于方法的注解权限认证，默认为false
public class SecurityConfig extends WebSecurityConfigurerAdapter {然后我们就可以在想要进行权限校验的方法上使用@PreAuthorize("hasAuthority('ROLE_user')")或者@PreAuthorize("hasRole('user')")进行相应的权限校验了。
特别说明：
hasRole和hasAuthority基本上没有区别，主要差异在于hasRole会在我们添加的角色名称前添加ROLE_前缀，所以在数据库中的权限字符串需要加上 ROLE_ 前缀。
即数据库中存储的用户角色如果是 ROLE_admin，这里就是 admin。hasAuthority和数据库一样就行
总结
以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。