Spring Security之简单举例

核心功能

Spring Security提供了三个核心的功能:

认证（你是谁）

授权（你能干什么）

攻击防护（防止伪造身份）

一个简单例子

默认情况

在前面的开发中，都是将spring security功能禁用的，现在开启该功能，即在application.properties文件中把下面这句话注释掉即可。

# security.basic.enabled=false
# 注：在添加了BrowserSecurityConfig之后,security.basic.enabled这个配置就不管用了

重启应用会在控制台输出一个默认密码，对应的用户名是user

再访问http://localhost:8080/user/1时会提示输入用户名密码,默认情况下是httpBasic认证.

自定义认证模式

认证授权相关的代码写在各个模块里，处理浏览器相关的代码写在imooc-security-browser模块里。写在imooc-security-browser模块里的配置能在demo模块里起作用，原因是demo中的起动类在com.imooc包下，而BrowserSecurityConfig在com.imooc.security.browser.config包下，注意启动类和配置类所在的包，要不然配置类会不起作用的

httpBasic登录,在imooc-security-browser模块里添加如下配置类,实现了自定义的httpBasic登录,即默认的认证模式:

@Configuration
public class BrowserSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        System.out.println("BrowserSecurityConfig");
        http.httpBasic() // httpBasic登录
                .and()
                .authorizeRequests() // 对请求做授权
                .anyRequest() // 任何请求
                .authenticated(); // 都需要身份认证
    }
}

httpForm登录,下面的代码是基于表单的登录:

@Configuration
public class BrowserSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        System.out.println("BrowserSecurityConfig");
        // 写法一：继承父类是formLogin登录
        // super.configure(http);
        
        // 写法二
        http.formLogin() // 表单登录
                .and()
                .authorizeRequests() // 对请求做授权
                .anyRequest() // 任何请求
                .authenticated(); // 都需要身份认证
    }
}

基本原理

最核心的东西就是过滤器链，绿色过滤器可控制，用来处理表单登录，其他颜色过滤器不可控制，其中蓝色用来处理异常，橙色用来作最终能否访问的认证，REST API就是我们写的控制器。

请求到UsernamePasswordAuthenticationFilter,会判断是否是登录请求，是的话是否有用户名和密码并认证，到FilterSecurityInterceptor时会根据配置判断请求是否满足要求(是否已认证或不用认证)，如果不满足就返回登录让用户登录认证信息。通过在上面几个控制器打断点，来分析一下：

启动应用并访问http://localhost:8080/user/1，首先会FilterSecurityInterceptor.java，对请求做验证，判断没有认证信息后抛出异常

异常信息被ExceptionTranslationFilter.java过滤器捕获并重定向到登录页面

从控制台复制密码，并在页面输入登录信息，点击登录按钮

登录请求被UsernamePasswordAuthenticationFilter.java过滤器拦截，并对用户信息进行认证

再次被FilterSecurityInterceptor.java拦截器拦截，按F8

最终访问/user/1对应的控制器