通过配置文件
通过配置类
自定义编写实现类
查询数据库完成用户认证
- 整合MyBatisPlus完成数据库操作
自定义设置登录页面，不需要认证可以访问
3.4 基于角色或者权限进行访问
3.5 自定义403没有权限访问的页面
3.6 注解使用
- 认证授权注解使用
3.7 用户注销
3.8 基于数据库实现自动登录
- 1、实现原理
- 2、案例实现
3.9 CSRF

1、认证
2、授权

1、设置登录的用户名和密码
第一种方式：同故宫配置文件
第二种方式：通过配置类
第三种方式：自定义编写实现类

通过配置文件

spring.security.user.name=admin
spring.security.user.password=admin

通过配置类

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
        String password = passwordEncoder.encode("123");
        auth.inMemoryAuthentication()
                .withUser("lucy")
                .password(password).roles("admin");
    }
    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder() ;
    }
}

自定义编写实现类

第一步创建配置类，设置使用哪个 userDetailsService 实现类
第二步编写实现类，返回User对象，有用户名密码操作权限

@Configuration
public class SecurityConfigTest extends WebSecurityConfigurerAdapter {
    @Autowired
    private UserDetailsService userDetailsService;
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }
    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder() ;
    }
}
@Service("userDetailsService")
public class MyUserDetailsService implements UserDetailsService {
    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        List<GrantedAuthority> role = AuthorityUtils.commaSeparatedStringToAuthorityList("role");
        return new User(
                "marry",
                new BCryptPasswordEncoder().encode("1234"),
                role
        );
    }
}

查询数据库完成用户认证

整合MyBatisPlus完成数据库操作

第一步引入相关依赖

    <dependencies>
        <dependency>
            <groupId>com.baomidou</groupId>
            <artifactId>mybatis-plus-boot-starter</artifactId>
            <version>3.0.5</version>
        </dependency>
        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <optional>true</optional>
        </dependency>
    </dependencies>

第二步创建数据库和数据表 User

第三步创建对应的实体类

/**
 * 用户权限表
 * @TableName tbl_user
 */
@TableName(value ="tbl_user")
@Data
@ToString
public class User implements Serializable {
    /**
     * 用户id
     */
    @TableId(value = "id", type = IdType.AUTO)
    private Integer id;
    /**
     * 用户名
     */
    @TableField(value = "username")
    private String username;
    /**
     * 密码
     */
    @TableField(value = "password")
    private String password;
    @TableField(exist = false)
    private static final long serialVersionUID = 1L;
}

第四步整合MP ，创建接口继承MP的接口

第五步在 MyUserDetailsService 用mapper方法查询数据库进行用户认证

@Service("userDetailsService")
public class MyUserDetailsService implements UserDetailsService {
    @Autowired
    private UserMapper userMapper;
    @Override
    public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException {
        // 调用方法查询数据库,根据用户名查询数据库
        QueryWrapper<com.atguigu.security.bean.User> wrapper = new QueryWrapper<>();
        wrapper.eq("username",userName);
        com.atguigu.security.bean.User user = userMapper.selectOne(wrapper);
        /**
         * 用户名不存在
         */
        if(user == null){
            throw new UsernameNotFoundException("用户名不存在");
        }
        List<GrantedAuthority> role =
                AuthorityUtils.commaSeparatedStringToAuthorityList("role");
        return new User(
                user.getUsername(),
                new BCryptPasswordEncoder().encode(user.getPassword()),
                role
        );
    }
}

自定义设置登录页面，不需要认证可以访问

1、在配置类中实现相关的配置

     * 自定义登录页
     * @param http
     * @throws Exception
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin()
                .loginPage("/login.html")//登陆页面设置
                .loginProcessingUrl("/user/login")//登录访问路径
                .defaultSuccessUrl("/test/index").permitAll()//登陆成功跳转的路径
                .and().authorizeRequests()
                    .antMatchers("/","/text/hello","/user/login").permitAll()//设置那些路径可以直接访问不需要认证
                .anyRequest().authenticated()
                .and().csrf().disable();//关闭csrf防护
    }

2、创建相关页面

    <form action="/user/login" method="post">
        用户名：<input type="text" name="username" /><br>
        密码：<input type="password" name="password"/><br>
        <input type="submit" value="登录">
     </form>

3、页面跳转

@RestController
@RequestMapping("/test")
public class TestController {
    @GetMapping(value = "/hello")
    public String add(){
        return "hello 权限";
    }
    @GetMapping(value = "/index")
    public String index(){
        return "hello index";
    }
}

3.4 基于角色或者权限进行访问

第一个方法： hasAuthority 方法

如果当前的主体具有指定的权限则返回 true 否则返回 false

1、在配置类设置当前访问的路径有哪些权限

2、在 UserDetailsService 设置权限

没有访问权限

第二个方法： hasAnyAuthority 方法

如果当前主体有任何提供的权限（给定的作为一个都好分隔符的字符串列表）的话，返回 true

第三个方法：hasRole 方法

如果用户具备给定角色就允许访问，否则出现403

第四个方法：hasAnyRole 方法

只针对多个角色中间用逗号隔开，具备一个就可以访问

3.5 自定义403没有权限访问的页面

 // 配置自定义没有权限访问显示403页面
 http.exceptionHandling().accessDeniedPage("/unauth.html");

3.6 注解使用

认证授权注解使用

3.6.1 @Secured

判断是否具有角色，另外需要注意的是这里匹配的字符串需要添加前缀“ROLE_”
需要先开启注解功能

用户具有某个角色，可以访问方法
1、启动类上开启注解操作

@EnableGlobalMethodSecurity(securedEnabled = true)
public class Securitydemo1Application {

2、在 controller 方法上面使用注解，设置角色

    @GetMapping("/update")
    @Secured(value = {"ROLE_sale","ROLE_manager"})
    public String update(){
        return "hello update";
    }

3、在 UserDetailsService 设置用户的角色

List<GrantedAuthority> role =
                AuthorityUtils.commaSeparatedStringToAuthorityList("admins,ROLE_sale");

3.6.2 @PreAuthorize

开启注解功能：
进入方法前的权限验证，可以将登录用户的 roles/permissions 参数传到方法中

3.6.3 @PostAuthorize

在方法执行之后进行验证
开启注解功能

3.6.4 @PostFilter @PreFilter

@PostFilter ——-> 对数据继续宁过滤
@PreFilter ———> 对传入方法的数据进行过滤

    @GetMapping("/getall")
    @PostFilter("filterObject.username == 'admin1'")
    public List<User> getAll(){
        List<User> list = new ArrayList<>();
        list.add(new User(null,"admin1","123"));
        list.add(new User(null,"admin2","456"));
        System.out.println(list);
        return list;
    }

3.7 用户注销

1、在配置类添加退出的配置
2、测试

修改配置类，登陆成功之后跳转到成功页面
在成功页面添加超链接，设置推出路径
登陆成功，在成功页面点击退出，访问其他controller

3.8 基于数据库实现自动登录

1、cookie技术
2、安全框架机制实现自动登录

1、实现原理

第一步：

第二步：再次访问
获取cookie信息，拿着cookie信息到数据库机型比对，如果查询到对应信息，认证成功，可以登录

详细原理

2、案例实现

1.创建数据库表格
JdbcTokenRepositoryImpl默认会帮我们创建，其源码sql如下

create table persistent_logins (
            username varchar(64) not null, 
            series varchar(64) primary key,
            token varchar(64) not null, 
            last_used timestamp not null)

2.配置类
注入数据源，配置操作数据库对象

    // 注入数据源
    @Autowired
    private DataSource dataSource;
    @Bean
    public PersistentTokenRepository persistentTokenRepository(){
        JdbcTokenRepositoryImpl jdbcToken = new JdbcTokenRepositoryImpl();
        jdbcToken.setDataSource(dataSource);
        //jdbcToken.setCreateTableOnStartup(true);
        return jdbcToken;
    }
                .and().rememberMe().tokenRepository(persistentTokenRepository())
                .tokenValiditySeconds(60)   //设置自动登录有效时长 单位秒
                .userDetailsService(userDetailsService)

3.在登录页面添加复选框

    <form action="/user/login" method="post">
        用户名：<input type="text" name="username" /><br>
        密码：<input type="password" name="password"/><br>
        <input type="checkbox" name="remember-me"><br>
        <input type="submit" value="登录">
     </form>

3.9 CSRF

跨站请求伪造

跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF，是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。跨站请求攻击，简单地说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。这利用了web中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。

从Spring Security4.0之后默认开启，它会针对PATCH,POST,PUT,DELETE方法进行保护

实现原理
认证成功后生成csrfToken保存到HttpSession或者Cookie中。每次请求都会带着这个Token 值，利用这个Token值和session中的token值做比较，一样则允许访问
[

](https://blog.csdn.net/qq_38224285/article/details/109288164)

JavaEE

3 Web 权限方案

通过配置文件

通过配置类

自定义编写实现类

查询数据库完成用户认证

整合MyBatisPlus完成数据库操作

自定义设置登录页面，不需要认证可以访问

1、在配置类中实现相关的配置

2、创建相关页面

3、页面跳转

3.4 基于角色或者权限进行访问

第一个方法： hasAuthority 方法

第二个方法： hasAnyAuthority 方法

第三个方法：hasRole 方法

第四个方法：hasAnyRole 方法

3.5 自定义403没有权限访问的页面

3.6 注解使用

认证授权注解使用

3.6.1 @Secured

3.6.2 @PreAuthorize

3.6.3 @PostAuthorize

3.6.4 @PostFilter @PreFilter

3.7 用户注销

3.8 基于数据库实现自动登录

1、实现原理

2、案例实现

3.9 CSRF

3 Web 权限方案

通过配置文件

通过配置类

自定义编写实现类

查询数据库完成用户认证

整合MyBatisPlus完成数据库操作

自定义设置登录页面，不需要认证可以访问

1、在配置类中实现相关的配置

2、创建相关页面

3、页面跳转

3.4 基于角色或者权限进行访问

第一个方法： hasAuthority 方法

第二个方法： hasAnyAuthority 方法

第三个方法 ：hasRole 方法

第四个方法 ：hasAnyRole 方法

3.5 自定义403没有权限访问的页面

3.6 注解使用

认证授权注解使用

3.6.1 @Secured

3.6.2 @PreAuthorize

3.6.3 @PostAuthorize

3.6.4 @PostFilter @PreFilter

3.7 用户注销

3.8 基于数据库实现自动登录

1、实现原理

2、案例实现

3.9 CSRF

第三个方法：hasRole 方法

第四个方法：hasAnyRole 方法