springsecurity基于数据库验证用户

之前的springsecurity程序都是将数据存放在内存中的,通过

<security:user-service>
            <security:user name="user" password="user" authorities="ROLE_USER"/>
            <security:user name="admin" password="admin" authorities="ROLE_USER, ROLE_ADMIN"/>
         </security:user-service>

user-service指定用户信息，例如name,password和权限

但是这样的验证在开发中是不科学的，所以我们要连接数据库，通过匹配数据库中的信息判断用户是否登陆

首先我们需要添加依赖，需要继续添加的依赖有spring-jdbc,spring-core,spring-web,spring-webmvc,mysql-connector-java

添加完依赖后我们需要加入数据库的配置文件

在spring-security配置文件中配置datasource

jdbc-user-service 元素，通过该元素我们可以定义一个从数据库获取 UserDetails 的 UserDetailsService, dataSource 是对应数据源配置的 bean 引用

完整的spring-security.xml配置文件:

<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:security="http://www.springframework.org/schema/security"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xmlns:context="http://www.springframework.org/schema/context"
       xsi:schemaLocation="http://www.springframework.org/schema/beans
          http://www.springframework.org/schema/beans/spring-beans-3.1.xsd
          http://www.springframework.org/schema/security
          http://www.springframework.org/schema/security/spring-security-3.1.xsd http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context.xsd">
    <!--加载数据库的配置文件-->
    <context:property-placeholder location="classpath:db.properties"/>
     <!--配置数据源-->
    <bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
        <property name="driverClassName" value="${jdbc.driverClass}"/>
        <property name="password" value="${jdbc.password}"/>
        <property name="url" value="${jdbc.jdbcUrl}"/>
        <property name="username" value="${jdbc.user}"/>
    </bean>
        <!--
        自定义表单,通过form-login标签
        authentication-failure-url指定登陆失败以后应该跳转的页面
        default-target-url指定登陆成功以后跳转的页面,默认的是index.jsp页面
        -->
    <security:http auto-config="true">
        <security:form-login login-page="/login.jsp"
                             default-target-url="/successful.jsp"
                             login-processing-url="/login.do"
                             authentication-failure-url="/login_failure.jsp"
                             always-use-default-target="true"
                             username-parameter="username"
                             password-parameter="password"
        />
        <!-- 表示匿名用户可以访问 -->
        <security:intercept-url pattern="/login*.jsp*"
                                access="IS_AUTHENTICATED_ANONYMOUSLY" />
        <security:intercept-url pattern="/**" access="ROLE_USER" />
    </security:http>


    <security:authentication-manager>
        <security:authentication-provider>
            <security:jdbc-user-service data-source-ref="dataSource"/>
        </security:authentication-provider>
    </security:authentication-manager>

</beans>

默认情况下 jdbc-user-service 将使用 SQL 语句 “select username, password, enabled from users where username = ?” 来获取用户信息；使用 SQL 语句 “select username, authority from authorities where username = ?” 来获取用户对应的权限；

若数据库表名不是系统默认的，我们可以通过属性 users-by-username-query 来指定查询用户信息的时候是从自定义用户信息表中查询，通过authorities-by-username-query来查询用户权限

另外还有一种连接数据库的方法

<security:authentication-manager>
        <security:authentication-provider user-service-ref="userDetailsService"/>
    </security:authentication-manager>

    <bean id="userDetailsService" class="org.springframework.security.core.userdetails.jdbc.JdbcDaoImpl">
        <property name="dataSource" ref="dataSource"/>
    </bean>

JdbcDaoImpl是支持用户组查询的