SpringBoot+SpringSecurity实现基于真实数据的授权认证

（一）概述

spring security是一个功能强大且高度可定制的身份验证和访问控制框架，spring security主要做两个事情，认证、授权。我之前写过一篇关于springsecurity的博客，但是当时只是介绍了基于mock数据的案例，本期就来介绍一下基于真实数据的认证授权实现。

（二）前期项目搭建

为了更好的展示springsecurity，我们先搭建一个简单的web项目出来。引入thymeleaf依赖

<dependency>
    <groupid>org.springframework.boot</groupid>
    <artifactid>spring-boot-starter-thymeleaf</artifactid>
</dependency>
<dependency>
    <groupid>org.thymeleaf</groupid>
    <artifactid>thymeleaf-spring5</artifactid>
</dependency>
<dependency>
    <groupid>org.thymeleaf.extras</groupid>
    <artifactid>thymeleaf-extras-java8time</artifactid>
</dependency>

新建一个登陆页，一个首页，然后几个不同等级的展示页面：
login.html

<!doctype html>
<html lang="en">
<head>
    <meta charset="utf-8">
    <title>登陆页</title>
</head>
<body>
<div>
    <form>
        <h2>登陆页</h2>
        <input type="text" id="username" placeholder="username">
        <input type="password" id="password" placeholder="password">
        <button type="button">登陆</button>
    </form>
</div>
</body>
</html>

index.html

<!doctype html>
<html lang="en">
<head>
    <meta charset="utf-8">
    <title>首页</title>
</head>
<body>
<div>
    <h2>首页</h2>
    <a href="/login" rel="external nofollow" >登陆</a>
    <div style="overflow: hidden">
        <div style="float: left;margin-left: 20px">
            <h3>level1</h3>
            <a href="/level1/1" rel="external nofollow" >level-1-1</a>
            <hr>
            <a href="/level1/2" rel="external nofollow" >level-1-2</a>
        </div>
        <div style="float: left;margin-left: 20px">
            <h3>level2</h3>
            <a href="/level2/1" rel="external nofollow" >level-2-1</a>
            <hr>
            <a href="/level2/2" rel="external nofollow" >level-2-2</a>
        </div>
        <div style="float: left;margin-left: 20px">
            <h3>level3</h3>
            <a href="/level3/1" rel="external nofollow" >level-3-1</a>
            <hr>
            <a href="/level3/2" rel="external nofollow" >level-3-2</a>
        </div>
    </div>
</div>
</body>
</html>

另外还有几个不同等级的页面

分别在body中写上自己对应的编号。

<!doctype html>
<html lang="en">
<head>
    <meta charset="utf-8">
    <title>title</title>
</head>
<body>
level-1-1
</body>
</html>

最后编写一个controller来接收请求：

@controller
public class routecontroller {

    @requestmapping({"/","/index"})
    public string index(){
        return "index";
    }

    @requestmapping("/login")
    public string tologin(){
        return "login";
    }

    @requestmapping("/level1/{id}")
    public string level1(@pathvariable("id")string id){
        return "level1/"+id;
    }
    @requestmapping("/level2/{id}")
    public string level2(@pathvariable("id")string id){
        return "level2/"+id;
    }
    @requestmapping("/level3/{id}")
    public string level3(@pathvariable("id")string id){
        return "level3/"+id;
    }
}

最终的效果如下：

最终实现等级不同的level页面根据不同权限进行跳转。

后台基于mybatis和mysql数据库实现，因此我们除了引入springsecurity的依赖之外，还需要引入mybatis相关依赖：

<dependency>
    <groupid>org.springframework.boot</groupid>
    <artifactid>spring-boot-starter-security</artifactid>
</dependency>
<dependency>
    <groupid>org.springframework.boot</groupid>
    <artifactid>spring-boot-starter-jdbc</artifactid>
</dependency>
<dependency>
    <groupid>mysql</groupid>
    <artifactid>mysql-connector-java</artifactid>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupid>org.mybatis.spring.boot</groupid>
    <artifactid>mybatis-spring-boot-starter</artifactid>
    <version>2.1.3</version>
</dependency>

在配置文件中添加数据源相关信息，以及mybatis的配置：

spring.datasource.url=jdbc:mysql://localhost:3306/security?servertimezone=utc&useunicode=true&characterencoding=utf-8
spring.datasource.username=root
spring.datasource.password=123456
spring.datasource.driver-class-name=com.mysql.cj.jdbc.driver

mybatis.mapper-locations=classpath:mapper/*.xml

（三）认证与授权的实现

3.1 表结构设计

认证和授权在表设计上应该分在两个表内，一个表存储用户信息包括密码等，另一个表存储授权信息，还需要一个表建立用户和授权之间的关联，给出最终的表结构：

create table `roles` (
  `id` int(4) not null,
  `rolename` varchar(255) default null,
  primary key (`id`)
) engine=innodb default charset=utf8mb4;

create table `sysuser` (
  `id` int(4) not null,
  `username` varchar(255) not null,
  `password` varchar(255) not null,
  primary key (`id`)
) engine=innodb default charset=utf8mb4;

create table `user_role` (
  `id` int(4) not null,
  `user_id` int(4) default null,
  `role_id` int(4) default null,
  primary key (`id`)
) engine=innodb default charset=utf8mb4;

接下来是针对这三张表的实体类，mapper接口以及xml文件，你可以不看代码，主要实现一个通过用户名查找用户以及相关权限的操作：

@data
public class roles {
    private integer id;
    private string rolename;
}

@data
public class sysuser {
    private integer id;
    private string username;
    private string password;
    private list<roles> roles;
}

mapper接口：

public interface usermapper {
    public sysuser getuserbyusername(@param("username") string username);
}

xml实现：

<?xml version="1.0" encoding="utf-8" ?>
<!doctype mapper public "-//mybatis.org//dtd mapper 3.0//en" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.javayz.springsecurity.mapper.usermapper">
    <resultmap id="usermap" type="com.javayz.springsecurity.entity.sysuser">
        <id property="id" column="id"/>
        <result property="username" column="username"/>
        <result property="password" column="password"/>
        <collection property="roles" oftype="com.javayz.springsecurity.entity.roles">
            <result column="name" property="rolename"/>
        </collection>
    </resultmap>
    <select id="getuserbyusername" parametertype="string"  resultmap="usermap">
        select sysuser.*,roles.rolename
        from sysuser
        left join user_role on sysuser.id= user_role.user_id
        left join roles on user_role.role_id=roles.id
        where username= #{username}
    </select>
</mapper>

3.2 认证过程

springsecurity的认证过程是这样的，首先通过用户名或者其他唯一的id在数据库里找到这个用户，用户的密码以非对称加密的方式存储。取到用户后将前台传入的密码加密后和数据库中已经加密好的字段进行对比，从而通过认证。

上面这个过程中的第一步通过用户名找到用户的操作需要通过service服务来实现，并且这个service服务需要继承springsecurity中的userdetailsservice接口。这个接口返回一个springsecurity的user对象。

@service
public class userservice implements userdetailsservice {

    @resource
    private usermapper usermapper;
    //根据用户名找到对应的用户信息
    @override
    public userdetails loaduserbyusername(string s) throws usernamenotfoundexception {
        sysuser sysuser = usermapper.getuserbyusername(s);
        if (sysuser!=null){
            list<grantedauthority> roles=new arraylist<>();
            sysuser.getroles().stream().foreach(x->{
                roles.add(new simplegrantedauthority(x.getrolename()));
            });
            return new user(sysuser.getusername(),sysuser.getpassword(),roles);
        }
        throw new usernamenotfoundexception("用户未找到");
    }
}

3.3 security拦截配置

上面的步骤都完成后就开始配置security了，写一个配置方法securityconfig，代码层面很简单，认证传入userservice对象，会自动把数据库中取出的密码和前端传过来的密码进行对照。同时在userservice中还传入了roles集合，在授权处给不同的页面附上不同的权限即可。

@enablewebsecurity
public class securityconfig extends websecurityconfigureradapter {

    @autowired
    private userservice userservice;
    //授权
    @override
    protected void configure(httpsecurity http) throws exception {
        //首页所有人都能访问，level页面只有有权限的人才能访问
        http.authorizerequests()
                .antmatchers("/").permitall()
                .antmatchers("/level1/**").hasrole("vip1")
                .antmatchers("/level2/**").hasrole("vip2")
                .antmatchers("/level3/**").hasrole("vip3");
        //没有权限默认跳到登陆页，默认会重定向到/login
        http.formlogin();
    }

    //认证
    @override
    protected void configure(authenticationmanagerbuilder auth) throws exception {
        auth.userdetailsservice(userservice).passwordencoder(new bcryptpasswordencoder());

    }
}

3.4 其他注意点

我在认证的时候使用的密码加密方式是bcryptpasswordencoder，因此存入数据库中的密码也需要被加密，常用的方式就是在注册时通过同样的方式对密码进行加密存入数据库中：

string password="xxx";
bcryptpasswordencoder bcryptpasswordencoder = new bcryptpasswordencoder();
string encode=bcryptpasswordencoder.encode(password);