如何控制项目的访问权限来保证项目安全？SpringBoot 集成 Spring Security 安全框架使用指南

安全框架

• shiro
• Spring Security

• 应用程序的两个主要区域:认证和受权(这两个主要区域是Spring Security的两个目标)

  • 认证(Authentication):

    • 创建一个声明的主体过程
    • 一个[主体]通常是指[用户],[设备]或一些能够[在应用程序中执行动做的其它系统]

  • 受权(Authorization):

    • 访问控制肯定一个主体是否容许在你的应用程序执行一个动做的过程

    • 为了抵达须要受权的点,主体身份已经有认证过程的创建

      Spring Security

• 针对Spring项目的安全框架,是Spring Boot底层安全模块默认的技术选型
• 能够实现web安全控制,只须要引入spring-boot-starter-security依赖配置便可

• Spring Security中的类:

  • WebSecurityConfigurerAdapter: 自定义Security策略
  • AuthenticationManagerBuilder: 自定义认证策略

  • @EnableWebSecurity: 开启WebSecurity模式

    1.引入spring-boot-starter-security依赖
    
    2.编写SpringSecurity配置类
    2.1 定制请求的受权规则
    2.2 开启自动配置的登陆功能(/login来到登陆页;重庆向到/login?error表示登陆失败)
    2.3 开启自动配置的注销功能(访问/logout请求,表示用户注销并清空session;注销成功返回/login?logout)
    2.4 开启自动配置的记住密码功能(http.rememberMe();)-登陆成功之后,将Cookie发送给浏览器保存,能够实现记住密码功能;点击注销会删除Cookie,就没有记住密码功能
    默认post形式的/login表明处理登陆
    2.5定义认证规则
    @EnableSecurity
    public class MySecurityConfig extends WebSecurityConfigureAdapter{
    @Override
    protected void configure(HttpSecurity http) throws Exception{
        // 定制请求的受权规则
        http.authorizeRequest().antMatches("/").permitAll()
            .antMatches("/level/**").hasRole("VIP");
        // 开启自动配置的登陆功能,若是没有权限就会跳转到登陆页面
        http.formLogin().loginPage("/");    // 跳转到自定义登陆页
        http.logout().logoutSuccessUrl("/");    // 注销成功返回首页
        http.rememberMe().rememberMeParameter("remember");    // 开启自动配置的记住密码功能
    }
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception{
        auth.inMemoryAuthentication().withUser("username").password("password").roles("role1","role2")
                                     .and()
                                     .withUser("username").password("password").roles("role1","role2")
    }
    
    
    3.控制请求的访问权限

• Thymeleaf Extras Springsecurity4