springboot整合springSecurity

springboot项目引入security后，security就会创建默认登陆页面，对用户身份权限认证，还会把生成的用户user的密码输出在控制台，只要访问了项目资源就会自动跳转到他的默认登录页面，只有使用他的密码登录后才会去访问我们接口

在前后端分离的项目中，不需要security提供的登陆页面，他的这些配置不符合我们的需求，此时就需要自定义配置，实现我们的需求，比如通过数据库中的账号密码实现登录，而不是通过它提供的账号密码登录。

一. security也提供了这种用户认证的方式。

首先security有一个SecurityContextHolder对象，用于管理security的上下文SeucirtyContext，

SeucirtyContext中存储着Authentication，也就是登录用户的信息

获取SecurityContextHolder对象：

UsernamePasswordAuthenticationToken authentication =
                (UsernamePasswordAuthenticationToken) SecurityContextHolder.getContext().getAuthentication();

表示通过SecurityContextHolder（上下文管理对象）获取SeucirtyContext（上下文对象）获取Authentication，他里面存储了三个信息，

?1、Principal：用户信息，没有认证时一般是用户名，认证后一般是用户对象

? 2、Credentials：用户凭证，一般是密码

? 3、Authorities：用户权限。

二 .security是通过AuthenticationManager的authenticate完成用户认证。

三.那么AuthenticationManager是如何校验用户信息的呢，

首先我们需要实现一个类实现security中的UserDetialsService接口，只需要实现一个方法

loadUserByUsername，让此方法能根据用户名查询出用户对象，如下：

此方法返回一个Security中的用户数据接口 UserDetails 的实现类对象，所以我么也需要自定义一个实现类

UserDetailsImpl来实现UserDetails接口，用于提供用户基本属性，如账号密码，其他方法一般情况下返回true，如下：

当然此方法也可以重写此接口方法实现其他自定义属性逻辑。这里就不介绍。

此时就完成了在security获取用户信息的基础条件

四. 然后就该实现SecurityConfig的配置类，如下：

@Configuration
@EnableWebSecurity     //Security配置类
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired   //jwt自定义过滤器
    private JwtAuthenticationTokenFilter jwtAuthenticationTokenFilter;

    @Bean   //密码编译器，加密密码
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .authorizeRequests()
                //表示以下路径不需要通过Security验证，可以直接访问
                .antMatchers("/api/user/account/login", "/api/user/account/register/","enclosures/updateEnclosures/").permitAll()
                //表示以下路径代理到127.0.0.1进行处理
//                .antMatchers("/pk/start/game/","/pk/receive/bot/move/").hasIpAddress("127.0.0.1")
                .antMatchers(HttpMethod.OPTIONS).permitAll()
                .antMatchers("/v2/api-docs", "/swagger-resources/configuration/ui",
                        "/swagger-resources", "/swagger-resources/configuration/security",
                        "/swagger-ui.html", "/webjars/**","/error").permitAll()
                .anyRequest().authenticated();
        //把jwt自定义的过滤器添加到Security的链中
        http.addFilterBefore(jwtAuthenticationTokenFilter, UsernamePasswordAuthenticationFilter.class);
    }

}

五.?自定义认证过滤器

我们需要自定义一个过滤器，实现在访问securityu允许的公共接口外，去验证是否符合权限，也就是去获取请求头中的token是否合法，对token进行解析取出其中的信息，获取对应的登录对象。然后封装Authentication对象存入SecurityContextHolder。如下：

@Component
public class JwtAuthenticationTokenFilter extends OncePerRequestFilter {
    @Autowired
    private UserMapper userMapper;

    @Override
    protected void doFilterInternal(HttpServletRequest request, @NotNull HttpServletResponse response, @NotNull FilterChain filterChain) throws ServletException, IOException {
        //获取前端请求头中的的Authorization的值
        String token = request.getHeader("Authorization");
        System.out.println(token);
        System.out.println(request.getRequestURI());

        //判断token是否是"Bearer "开头和token是否为空
        if (!StringUtils.hasText(token) || !token.startsWith("Bearer ")) {
            //如果为token不合法则进行下一个拦截请求，这个不放行
            filterChain.doFilter(request, response);
            LocalDateTime.now();
            return;
        }
        //token如果合法则除去开头的"Bearer "，留下真正的token
        token = token.substring(7);

        String userid;
        try {
            //通过jwt工具类解析token获取token中的userid
            Claims claims = JwtUtil.parseJWT(token);
            userid = claims.getSubject();
        } catch (Exception e) {
            throw new RuntimeException(e);
        }

        //通过token中解析出的id从数据库查询user是否存在
        User user = userMapper.selectById(Integer.parseInt(userid));

        if (user == null) {
            throw new RuntimeException("用户名未登录");
        }

        //UserDetailsImpl是Security自带的封装用户信息等类，
        UserDetailsImpl loginUser = new UserDetailsImpl(user);

        //通过UsernamePasswordAuthenticationToken类表示从封装的用户类信息的实例中获取用户信息，
        UsernamePasswordAuthenticationToken authenticationToken =
                new UsernamePasswordAuthenticationToken(loginUser, null, null);

          //把用户信息存储到Security上下文
        SecurityContextHolder.getContext().setAuthentication(authenticationToken);

        filterChain.doFilter(request, response);
    }
}

因为过滤器需要对token进行解析获取用户信息，所以也需要一个jwt工具类，用于生成解析token信息等：如下

@Component
public class JwtUtil {
    public static final long JWT_TTL = 60 * 60 * 1000L * 24 ; //token过期时间
    public static final String JWT_KEY = "SDFGjhdsfalshdfHFdsjkdsfds121232131afasdfac";  //生成token密钥

    public static String getUUID() {
        return UUID.randomUUID().toString().replaceAll("-", "");
    }

    //创建返回jwt
    public static String createJWT(String subject) {
        JwtBuilder builder = getJwtBuilder(subject, null, getUUID());
        return builder.compact();
    }
    //构建jwt
    private static JwtBuilder getJwtBuilder(String subject, Long ttlMillis, String uuid) {
        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
        SecretKey secretKey = generalKey();
        long nowMillis = System.currentTimeMillis();
        Date now = new Date(nowMillis);
        if (ttlMillis == null) {
            ttlMillis = JwtUtil.JWT_TTL;
        }

        long expMillis = nowMillis + ttlMillis;
        Date expDate = new Date(expMillis);
        return Jwts.builder()
                .setId(uuid)
                .setSubject(subject)
                .setIssuer("sg")
                .setIssuedAt(now)
                .signWith(signatureAlgorithm, secretKey)
                .setExpiration(expDate);
    }
    //生成和验证jwt的密钥
    public static SecretKey generalKey() {
        byte[] encodeKey = Base64.getDecoder().decode(JwtUtil.JWT_KEY);
        return new SecretKeySpec(encodeKey, 0, encodeKey.length, "HmacSHA256");
    }
    //解析jwt
    public static Claims parseJWT(String jwt) throws Exception {
        SecretKey secretKey = generalKey();
        return Jwts.parserBuilder()
                .setSigningKey(secretKey)
                .build()
                .parseClaimsJws(jwt)
                .getBody();
    }
}

六. 登录测试了。

首先是登陆接口。

因为配置类中对登录接口的路径进行了放行，所以不会进入过滤器进行token验证，而是直接执行，

然后service逻辑如下，如果是合法的登录用户，则通过jwt工具类生成含有用户唯一标示信息的token返回给用户，用户需要在访问除了公共接口外的所有接口中带上此token

?

七：获取信息测试

controller接口为

此接口没有在配置类中放行，所以需要进入过滤器，验证token信息，如果正确就进入service执行相应逻辑，

否则抛出异常，

service逻辑如下，

此时就完成闭环。个人学习总结，如有错误不足，感谢指正