Spring Security一些避坑指南

ゝ一纸荒年。 2022-11-15 12:25 272阅读 0赞

### Spring Security一些避坑指南 ###

*  关于登录验证流程的坑
 *   *   *  Security 登录验证流程（不需要传入密码）
         *  Security 登录成功获取用户信息（密码为NULL）
         *  Security 通过Json 返回数据
         *  Security 会拦截Swagger2的访问
 *  关于权限验证流程的坑
 *   *   *  @PreAuthorize 不起作用,post访问404
         *  关于角色和权限在security中的区别

最近开始在项目上使用Security, 之前只是修改别人写好的，很多原理不明白。这次有幸自己搭建框架。期间是一言难尽。下面会说说一些常见的坑

# 关于登录验证流程的坑 #

### Security 登录验证流程（不需要传入密码） ###

此处是一个流程理解问题，在security的登录过程中是采取以用户名为查询条件，重写UserDetailsService类中的loadUserByUsername(String username) 方法。  
具体流程为我们的service通过继承重写此方法，以username为条件查询出userName对应的用户。  
**此处坑点**：按照我们以往的逻辑，验证用户需要传入用户名和密码，然后查出匹配账号。然而security是先通过用户名查出用户实体，之后再通过内置的match方法比较数据库中的密码和传入的密码。（密码会通过BCryptPasswordEncoder类进行不对称加密，不用担心明文泄露）。

### Security 登录成功获取用户信息（密码为NULL） ###

当我们在进行登录成功之后，会通过 authentication.getPrincipal()方法去获取用户信息并封装为Json返回给前台（前后端分离项目）。  
**此处坑点**：当我们通过authentication.getPrincipal()去获取用户信息，处于安全考虑，虽然会返回password字段，但是默认字段里是null的。(不是代码问题)，下图中的password为null;

### Security 通过Json 返回数据 ###

前后端项目主要是通过JSON进行数据交互，而我们在设置response时需要注意设置编码格式。不然Json返还给前台会造成乱码。  
**此处坑点** ：不注意的话，会造成类似乱码

{ 
        "msg": "？？？？？",
        "principal": { 
            "password": null,
            "username": "user",
            "authorities": [
                { 
                    "authority": "admin"
                }
            ],
            "accountNonExpired": true,
            "accountNonLocked": true,
            "credentialsNonExpired": true,
            "enabled": true
        }
    }

设置格式类似

Map<String, Object> map = new HashMap<>();
                            map.put("msg", "登录成功！");
                            map.put("principal", authentication.getPrincipal());
                            resp.setContentType("application/json;charset=utf-8");

### Security 会拦截Swagger2的访问 ###

前后端项目有时会引入Swagger2进行接口对接，但是当我们通过/swagger-ui.html去访问页面时候，security会拦截我们的请求，可能机灵的小伙伴们会在config中添加允许访问路径

.antMatchers("/swagger-ui.html").permitAll();

但是，要知道swagger的页面会发送多个请求去获取接口信息，只是放开访问接口，也仅仅是显示页面全白。

**此处坑点** ：我们需要在config中重写个方法才能重新访问swagger2的页面数据。具体如下

/* * 解决Security访问Swagger2被拦截的问题； * */
        @Override
        public void configure(WebSecurity web) throws Exception { 
            // allow Swagger URL to be accessed without authentication
            web.ignoring().antMatchers(
                    "/swagger-ui.html",
                    "/v2/api-docs", // swagger api json
                    "/swagger-resources/configuration/ui", // 用来获取支持的动作
                    "/swagger-resources", // 用来获取api-docs的URI
                    "/swagger-resources/configuration/security", // 安全选项
                    "/swagger-resources/**",
                    "/webjars/**"
    
    
            );;

# 关于权限验证流程的坑 #

### @PreAuthorize 不起作用,post访问404 ###

首先我们得明白此注解用于Controller层，用于对访问的用户进行权限控制。

//类似于这样
    @RestController
    @RequestMapping("/role")
    @PreAuthorize("hasAuthority('admin')")  // 指定角色权限才能操作方法
    public class RoleController {

**此处坑点** ： 请注意我这写的是hasAuthority(‘admin’)，意思是有admin权限的用户可以访问，  
各位此处需要根据自己的需求选择是权限控制还是角色控制。但是得注意如此处我是权限控制是因为我简单的写了登录权限。**此处的权限名必须和hasAuthority(‘admin’)对应上。**

// An highlighted block @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { 
            try { 
                //查询账号是否存在
                UserEntity sysUser = queryUserByAccountId(username);
                if (sysUser == null) { 
                    return null;
                }
                //比较密码，注册时已经加密过
                String password = passwordEncoder.encode("123");
                List<SimpleGrantedAuthority> authorities = new ArrayList<>();
                //查询role角色
    // List<SysRole> list = roleMapper.findRoleByUserId(sysUser.getId());
    // for(SysRole role : list) { 
    // authorities.add(new SimpleGrantedAuthority(role.getName()));
                authorities.add(new SimpleGrantedAuthority("admin"));
    // }
                //封装 SpringSecurity 需要的UserDetails 对象并返回
                UserDetails userDetails = new User(sysUser.getUsername(), password, authorities);
                return userDetails;
            } catch (Exception e) { 
                e.printStackTrace();
                //返回null即表示认证失败
                return null;
            }

其次，当我们开启控制层访问时，需要在配置类中开启权限访问开关

/** * SpringSecurity配置类 * @Author xiongjian * @CreateTime 2019/10/1 9:40 */
    @Configuration
    @EnableWebSecurity
    @EnableGlobalMethodSecurity(prePostEnabled=true)//这个注解是关键
    public class SecurityConfig extends WebSecurityConfigurerAdapter {

### 关于角色和权限在security中的区别 ###

在我们传统的模型中，角色和权限是属于包含关系的，既角色中有多个权限。但是在security中角色和权限被视为同一个对象  
列举代码

//添加权限，此处注意权限和角色是不同的表 但是在security 中视为同样的
        //此处添加权限
            authorities.add(“某某菜单的权限”));
        //此处添加的角色名为ROLE_开头
        authorities.add(“ROLE_admin”));
       //封装 SpringSecurity 需要的UserDetails 对象并返回.密码会自动进行匹配
       UserDetails userDetails = new User(sysUser.getUsername(), sysUser.getPassword(), authorities);

写到这，就得说明下，security中角色和权限可以视为一样的，而区分两者的方法很简单，角色我们在添加时需要加上前缀**ROLE\_**

您学废了吗？  
其他内容之后再补充  
希望对您有所帮助！