Spring Security使用單點登錄的權限功能
更新時間：2022年04月03日 10:15:19 作者：songtianer
本文主要介紹了Spring Security使用單點登錄的權限功能，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧
背景
在配置中心增加權限功能
- 目前配置中心已經包含了單點登錄功能，可以通過統(tǒng)一頁面進行登錄，登錄完會將用戶寫入用戶表
- RBAC的用戶、角色、權限表CRUD、授權等都已經完成
- 希望不用用戶再次登錄，就可以使用SpringSecurity的權限控制
Spring Security
Spring Security最主要的兩個功能：認證和授權
| 功能 | 解決的問題 | Spring Security中主要類 |
|---|---|---|
| 認證（Authentication） | 你是誰 | AuthenticationManager |
| 授權（Authorization） | 你可以做什么 | AuthorizationManager |
實現
在這先簡單了解一下Spring Security的架構是怎樣的，如何可以認證和授權的
過濾器大家應該都了解，這屬于Servlet的范疇，Servlet 過濾器可以動態(tài)地攔截請求和響應，以變換或使用包含在請求或響應中的信息
DelegatingFilterProxy是一個屬于Spring Security的過濾器
通過這個過濾器，Spring Security就可以從Request中獲取URL來判斷是不是需要認證才能訪問，是不是得擁有特定的權限才能訪問。
已經有了單點登錄頁面，Spring Security怎么登錄，不登錄可以拿到權限嗎
Spring Security官方文檔-授權架構中這樣說，GrantedAuthority（也就是擁有的權限）被AuthenticationManager寫入Authentication對象，后而被AuthorizationManager用來做權限認證
The GrantedAuthority objects are inserted into the Authentication object by the AuthenticationManager and are later read by either the AuthorizationManager when making authorization decisions.
為了解決我們的問題，即使我只想用權限認證功能，也得造出一個Authentication，先看下這個對象：
Authentication
Authentication包含三個字段：
- principal，代表用戶
- credentials，用戶密碼
- authorities，擁有的權限
有兩個作用:
- AuthenticationManager的入參，僅僅是用來存用戶的信息，準備去認證
- AuthenticationManager的出參，已經認證的用戶信息，可以從SecurityContext獲取
SecurityContext和SecurityContextHolder用來存儲Authentication， 通常是用了線程全局變量ThreadLocal, 也就是認證完成把Authentication放入SecurityContext，后續(xù)在整個同線程流程中都可以獲取認證信息，也方便了認證
繼續(xù)分析
看到這可以得到，要實現不登錄的權限認證，只需要手動造一個Authentication，然后放入SecurityContext就可以了，先嘗試一下，大概流程是這樣，在每個請求上
- 獲取sso登錄的用戶
- 讀取用戶、角色、權限寫入Authentication
- 將Authentication寫入SecurityContext
- 請求完畢時將SecurityContext清空，因為是ThreadLocal的，不然可能會被別的用戶用到
- 同時Spring Security的配置中是對所有的url都允許訪問的
加了一個過濾器，代碼如下：
import javax.servlet.*;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;
import java.util.HashMap;
import java.util.List;
import java.util.Map;
import java.util.stream.Collectors;
@WebFilter( urlPatterns = "/*", filterName = "reqResFilter" )
public class ReqResFilter implements Filter{
@Autowired
private SSOUtils ssoUtils;
@Autowired
private UserManager userManager;
@Autowired
private RoleManager roleManager;
@Override
public void init( FilterConfig filterConfig ) throws ServletException{
}
@Override
public void doFilter( ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain )
throws IOException, ServletException{
setAuthentication(servletRequest);
filterChain.doFilter( servletRequest, servletResponse );
clearAuthentication();
}
@Override
public void destroy(){
}
private void setAuthentication( ServletRequest request ){
Map<String, String> data;
try{
data = ssoUtils.getLoginData( ( HttpServletRequest )request );
}
catch( Exception e ){
data = new HashMap<>();
data.put( "name", "visitor" );
}
String username = data.get( "name" );
if( username != null ){
userManager.findAndInsert( username );
}
List<Role> userRole = userManager.findUserRole( username );
List<Long> roleIds = userRole.stream().map( Role::getId ).collect( Collectors.toList() );
List<Permission> rolePermission = roleManager.findRolePermission( roleIds );
List<SimpleGrantedAuthority> authorities = rolePermission.stream().map( one -> new SimpleGrantedAuthority( one.getName() ) ).collect(
Collectors.toList() );
UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken( username, "", authorities );
SecurityContextHolder.getContext().setAuthentication( authenticationToken );
}
private void clearAuthentication(){
SecurityContextHolder.clearContext();
}
}
從日志可以看出，Principal: visitor，當訪問未授權的接口被拒絕了
16:04:07.429 [http-nio-8081-exec-9] DEBUG org.springframework.security.access.intercept.aopalliance.MethodSecurityInterceptor - Previously Authenticated: org.springframework.security.authentication.UsernamePasswordAuthenticationToken@cc4c6ea0: Principal: visitor; Credentials: [PROTECTED]; Authenticated: true; Details: null; Granted Authorities: CHANGE_USER_ROLE, CHANGE_ROLE_PERMISSION, ROLE_ADD ... org.springframework.security.access.AccessDeniedException: 不允許訪問
結論
不登錄是可以使用Spring Security的權限，從功能上是沒有問題的，但存在一些別的問題
- 性能問題，每個請求都需要請求用戶角色權限數據庫，當然可以利用緩存優(yōu)化
- 我們寫的過濾器其實也是Spring Security做的事，除此之外，它做了更多的事，比如結合HttpSession, Remember me這些功能
我們可以采取另外一種做法，對用戶來說只登錄一次就行，我們仍然是可以手動用代碼再去登錄一次Spring Security的
如何手動登錄Spring Security
How to login user from java code in Spring Security? 從這篇文章從可以看到，只要通過以下代碼即可
private void loginInSpringSecurity( String username, String password ){
UsernamePasswordAuthenticationToken loginToken = new UsernamePasswordAuthenticationToken( username, password );
Authentication authenticatedUser = authenticationManager.authenticate( loginToken );
SecurityContextHolder.getContext().setAuthentication( authenticatedUser );
}
和上面我們直接拿已經認證過的用戶對比，這段代碼讓Spring Security來執(zhí)行認證步驟，不過需要配置額外的AuthenticationManager和UserDetailsServiceImpl，這兩個配置只是AuthenticationManager的一種實現，和上面的流程區(qū)別不大，目的就是為了拿到用戶的信息和權限進行認證
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;
import java.util.List;
import java.util.stream.Collectors;
@Service
public class UserDetailsServiceImpl implements UserDetailsService{
private static final Logger logger = LoggerFactory.getLogger( UserDetailsServiceImpl.class );
@Autowired
private UserManager userManager;
@Autowired
private RoleManager roleManager;
@Override
public UserDetails loadUserByUsername( String username ) throws UsernameNotFoundException{
User user = userManager.findByName( username );
if( user == null ){
logger.info( "登錄用戶[{}]沒注冊!", username );
throw new UsernameNotFoundException( "登錄用戶[" + username + "]沒注冊!" );
}
return new org.springframework.security.core.userdetails.User( user.getUsername(), "", getAuthority( username ) );
}
private List<? extends GrantedAuthority> getAuthority( String username ){
List<Role> userRole = userManager.findUserRole( username );
List<Long> roleIds = userRole.stream().map( Role::getId ).collect( Collectors.toList() );
List<Permission> rolePermission = roleManager.findRolePermission( roleIds );
return rolePermission.stream().map( one -> new SimpleGrantedAuthority( one.getName() ) ).collect( Collectors.toList() );
}
}
@Override
@Bean
public AuthenticationManager authenticationManagerBean() throws Exception{
DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();
daoAuthenticationProvider.setUserDetailsService( userDetailsService );
daoAuthenticationProvider.setPasswordEncoder( NoOpPasswordEncoder.getInstance() );
return new ProviderManager( daoAuthenticationProvider );
}
結論
通過這樣的方式，同樣實現了權限認證，同時Spring Security會將用戶信息和權限緩存到了Session中，這樣就不用每次去數據庫獲取
總結
可以通過兩種方式來實現不登錄使用SpringSecurity的權限功能
- 手動組裝認證過的Authentication直接寫到SecurityContext，需要我們自己使用過濾器控制寫入和清除
- 手動組裝未認證過的Authentication，并交給Spring Security認證，并寫入SecurityContext
附
Spring Security是如何配置的，因為只使用權限功能，所有允許所有的路徑訪問（我們的單點登錄會限制接口的訪問）
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.ProviderManager;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.password.NoOpPasswordEncoder;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import java.util.Arrays;
import java.util.Collections;
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter{
@Autowired
private UserDetailsService userDetailsService;
@Override
protected void configure( HttpSecurity http ) throws Exception{
http
.cors()
.and()
.csrf()
.disable()
.sessionManagement()
.and()
.authorizeRequests()
.anyRequest()
.permitAll()
.and()
.exceptionHandling()
.accessDeniedHandler( new SimpleAccessDeniedHandler() );
}
@Override
@Bean
public AuthenticationManager authenticationManagerBean() throws Exception{
DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();
daoAuthenticationProvider.setUserDetailsService( userDetailsService );
daoAuthenticationProvider.setPasswordEncoder( NoOpPasswordEncoder.getInstance() );
return new ProviderManager( daoAuthenticationProvider );
}
@Bean
public CorsConfigurationSource corsConfigurationSource(){
CorsConfiguration configuration = new CorsConfiguration();
configuration.setAllowedOrigins( Collections.singletonList( "*" ) );
configuration.setAllowedMethods( Arrays.asList( "GET", "HEAD", "POST", "PUT", "DELETE", "OPTIONS" ) );
configuration.setAllowCredentials( true );
configuration.setAllowedHeaders( Collections.singletonList( "*" ) );
configuration.setMaxAge( 3600L );
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration( "/**", configuration );
return source;
}
}
參考
到此這篇關于Spring Security使用單點登錄的權限功能的文章就介紹到這了,更多相關Spring Security單點登錄權限內容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！
相關文章
原型模式是用于創(chuàng)建重復的對象，同時又能保證性能。這種類型的設計模式屬于創(chuàng)建型模式，它提供了一種創(chuàng)建對象的最佳方式，今天通過本文給大家介紹下Java?原型設計模式，感興趣的朋友一起看看吧2023-04-04
今天小編就為大家分享一篇關于IntelliJ IDEA中顯示和關閉工具欄與目錄欄的方法，小編覺得內容挺不錯的，現在分享給大家，具有很好的參考價值，需要的朋友一起跟隨小編來看看吧2018-10-10
mybatis?plus配置自動create_time和update_time方式
在處理數據時,注意時間類型的轉換非常重要,不同編程環(huán)境和數據庫對時間數據的處理方式各異,因此在數據遷移或日常處理中需謹慎處理時間格式,個人經驗表明,了解常用的時間轉換函數和方法能有效避免錯誤,提高工作效率,希望這些經驗能為大家?guī)韼椭?/div> 2024-09-09
Java程序部署到服務器上,接口請求下載文件失敗/文件為空/文件名不對的問題
這篇文章主要介紹了Java程序部署到服務器上,接口請求下載文件失敗/文件為空/文件名不對,本文給大家分享錯誤原因及解決方法，需要的朋友可以參考下2020-07-07
SpringCloud Alibaba使用Seata處理分布式事務的技巧
在傳統(tǒng)的單體項目中，我們使用@Transactional注解就能實現基本的ACID事務了，隨著微服務架構的引入，需要對數據庫進行分庫分表，每個服務擁有自己的數據庫，這樣傳統(tǒng)的事務就不起作用了，那么我們如何保證多個服務中數據的一致性呢？跟隨小編一起通過本文了解下吧2021-06-06
可以清楚的看到在互斥鎖和共享鎖的拿鎖過程中都是有調用此方法的,而cancelAcquire()方法是寫在finally代碼塊中,并且使用failed標志位來控制cancelAcquire()方法的執(zhí)行2023-04-04
在本篇文章中小編給大家整理了關于java8、jdk8日期轉化成字符串的相關知識點和代碼，需要的朋友們學習下。2019-04-04
這篇文章主要介紹了在 Java 中用 JavaFx 庫標注文本顏色,在本文中，我們將了解如何更改標簽的文本顏色，并且我們還將看到一個必要的示例和適當的解釋，以便更容易理解該主題，需要的朋友可以參考下2023-05-05
在分布式系統(tǒng)中，分布式鎖、分布式ID和分布式事務是常用的組件，用于解決并發(fā)控制、唯一標識和數據一致性的問題，本文將介紹Java中常用的分布式鎖、分布式ID和分布式事務的實現方案，并通過具體的示例代碼演示它們的用法和應用場景2023-06-06
這篇文章主要介紹了關于jar包增量更新分析,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-05-05最新評論