SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

写在前面

思考：为什么需要鉴权呢？

系统开发好上线后，API接口会暴露在互联网上会存在一定的安全风险，例如：爬虫、恶意访问等。因此，我们需要对非开放API接口进行用户鉴权，鉴权通过之后再允许调用。

准备

spring-boot：2.1.4.RELEASE

spring-security-oauth2：2.3.3.RELEASE（如果要使用源码，不要随意改动这个版本号，因为2.4往上的写法不一样了）

mysql：5.7

效果展示

这边只用了postman做测试，暂时未使用前端页面来对接，下个版本角色菜单权限分配的会有页面的展示

1、访问开放接口 http://localhost:7000/open/hello

SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

2、不带token访问受保护接口 http://localhost:7000/admin/user/info

SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

3、登录后获取token，带上token访问，成功返回了当前的登录用户信息

SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

实现

oauth2一共有四种模式，这边就不做讲解了，网上搜一搜，千篇一律

因为现在只考虑做单方应用的，所以使用的是密码模式。

后面会出一篇SpringCloud+Oauth2的文章，网关鉴权

讲一下几个点吧

1、拦截器配置动态权限

SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

新建一个 MySecurityFilter类，继承AbstractSecurityInterceptor，并实现Filter接口

初始化，自定义访问决策管理器

@PostConstruct
 public void init(){
        super.setAuthenticationManager(authenticationManager);
        super.setAccessDecisionManager(myAccessDecisionManager);
  }

自定义 过滤器调用安全元数据源

@Override
public SecurityMetadataSource obtainSecurityMetadataSource() {
    return this.mySecurityMetadataSource;
}

先来看一下自定义过滤器调用安全元数据源的核心代码

以下代码是用来获取到当前请求进来所需要的权限（角色）

SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

/**
     * 获得当前请求所需要的角色
     * @param object
     * @return
     * @throws IllegalArgumentException
     */
    @Override
    public Collection getAttributes(Object object) throws IllegalArgumentException {
        String requestUrl = ((FilterInvocation) object).getRequestUrl();

        if (IS_CHANGE_SECURITY) {
            loadResourceDefine();
        }
        if (requestUrl.indexOf("?") > -1) {
            requestUrl = requestUrl.substring(0, requestUrl.indexOf("?"));
        }
        UrlPathMatcher matcher = new UrlPathMatcher();
        List list = new ArrayList<>();  //无需权限的，直接返回
        list.add("/oauth/**");
        list.add("/open/**");
        if(matcher.pathsMatchesUrl(list,requestUrl))
            return null;

        Set roleNames = new HashSet();
        for (Resc resc: resources) {
            String rescUrl = resc.getResc_url();
            if (matcher.pathMatchesUrl(rescUrl, requestUrl)) {
                if(resc.getParent_resc_id() != null && resc.getParent_resc_id().intValue() == 1){   //默认权限的则只要登录了，无需权限匹配都可访问
                    roleNames = new HashSet();
                    break;
                }
                Map map = new HashMap();
                map.put("resc_id", resc.getResc_id());
                // 获取能访问该资源的所有权限(角色)
                List roles = roleRescMapper.findAll(map);
                for (RoleRescDTO rr : roles)
                    roleNames.add(rr.getRole_name());
            }
        }

        Set configAttributes = new HashSet();
        for(String roleName:roleNames)
            configAttributes.add(new SecurityConfig(roleName));

        log.debug("【所需的权限(角色)】:" + configAttributes);

        return configAttributes;
    }SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
再来看一下自定义访问决策管理器核心代码，这段代码主要是判断当前登录用户（当前登录用户所拥有的角色会在最后一项写到）是否拥有该权限角色
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
@Override
    public void decide(Authentication authentication, Object o, Collection configAttributes) throws AccessDeniedException, InsufficientAuthenticationException {
        if(configAttributes == null){   //属于白名单的，不需要权限
            return;
        }
        Iterator iterator = configAttributes.iterator();
        while (iterator.hasNext()){
            ConfigAttribute configAttribute = iterator.next();
            String needPermission = configAttribute.getAttribute();
            for (GrantedAuthority ga: authentication.getAuthorities()) {
                if(needPermission.equals(ga.getAuthority())){   //有权限，可访问
                    return;
                }
            }
        }
        throw new AccessDeniedException("没有权限访问");

    }
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
2、自定义鉴权异常返回通用结果
为什么需要这个呢，如果不配置这个，对于前端，后端来说都很难去理解鉴权失败返回的内容，还不能统一解读，废话不多说，先看看不配置和配置了的返回情况
（1）未自定义前，没有携带token去访问受保护的API接口时，返回的结果是这样的
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
（2）我们规定一下，鉴权失败的接口返回接口之后，变成下面这种了，是不是更利于我们处理和提示用户
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
好了，来看一下是在哪里去配置的吧
我们资源服务器OautyResourceConfig，重写下下面这部分的代码，来自定义鉴权异常返回的结果
大伙可以参考下这个 https://blog.csdn.net/Pastxu/article/details/124538364
@Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.authenticationEntryPoint(authenticationEntryPoint)    //token失效或没携带token时
                .accessDeniedHandler(requestAccessDeniedHandler);   //权限不足时
    }
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
3、获取当前登录用户
第一种：使用JWT携带用户信息，拿到token后再解析
暂不做解释
第二种：写一个SecurityUser实现UserDetails接口（这个工程中使用的是这一种）
原来的只有UserDetails接口只有username和password，这里我们加上我们系统中的User
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
protected User user;
    public SecurityUser(User user) {
        this.user = user;
    }

    public User getUser() {
        return user;
    }
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
在BaseController，每个Controller都会继承这个的，在里面写给getUser()的方法，只要用户带了token来访问，我们可以直接获取当前登录用户的信息了
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
protected User getUser() {
        try {
            SecurityUser userDetails = (SecurityUser) SecurityContextHolder.getContext().getAuthentication()
                    .getPrincipal();

            User user = userDetails.getUser();
            log.debug("【用户:】:" + user);

            return user;
        } catch (Exception e) {
        }
        return null;
    }
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
那么用户登录成功后，如何去拿到用户的角色集合等呢，这里面就要实现UserDetailsService接口了
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
@Service
public class TokenUserDetailsService implements UserDetailsService{

    @Autowired
    private LoginService loginService;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = loginService.loadUserByUsername(username);  //这个我们拎出来处理
        if(Objects.isNull(user))
            throw new UsernameNotFoundException("用户名不存在");
        return new SecurityUser(user);
    }
}
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
然后在我们的安全配置类中设置UserDetailsService为上面的我们自己写的就行
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
@Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }
最后我们只需要在loginService里面实现我们的方法就好，根据我们的实际业务处理判断该用户是否存在等
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限
@Override
    public User loadUserByUsername(String username){
        log.debug(username);
        Map map = new HashMap();
        map.put("username",username);
        map.put("is_deleted",-1);
        User user = userMapper.findByUsername(map);
        if(user != null){
            map = new HashMap();
            map.put("user_id",user.getUser_id());
            //查询用户的角色
            List userRoles = userRoleMapper.findAll(map);
            user.setRoles(listRoles(userRoles));
            //权限集合
            Collection<? extends GrantedAuthority> authorities = merge(userRoles);
            user.setAuthorities(authorities);
            return user;
        }
        return null;

    }
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

大功告成啦，赶紧动起手来吧！
附上源码地址：https://gitee.com/jae_1995/spring-boot-oauth2
数据库文件在这
SpringBoot整合SpringSecurityOauth2实现鉴权-动态权限

点个小赞呗






展开阅读全文



页面更新：2024-05-01



标签：权限   数据源   管理器   过滤器   用户信息   源码   接口   角色   代码   动态   用户





1
2
3
4
5







	

		

		
		

		

			

			
顺丰骑手不易之送餐取快递

			

			

			从美团骑手到顺丰骑手，一路上走过了很多心酸，由于现在社会服务行业难做，外卖小哥是最底层的职业，大夏天顶着40 高温奔跑在60 的地面上，最为不易。虽然说骑手是服务行业的服务者，但是他们也是希望得到尊重的，如果不是在午高峰
			

		

	

	

		

		
		

		

			

			
“冒牌”京东金融客服的一通电话 骗走男子146800元

			

			

			被一名自称是“京东金融客服”的人员告知大学时的网贷严重影响个人征信，之后根据对方指导，短短一个小时被骗走146800元。蔡先生今年30岁，宝鸡人，2017年本科毕业后就工作了，前一阵刚在老家贷款买了房子，账户内也没有多少存款
			

		

	

	

		

		
		

		

			

			
“2022食机展”今日盛大开幕！“云上”展会带给您不一样的精彩

			

			

			6月20日上午9:30，由中国智能包装委员会与食品机械设备网联合举办的“2022食机展——食品机械设备网线上展会(第4届)”正式拉开帷幕【食品机械在线展会-食品机械企业展会视频直播,食品机械企业展会宣传视频-食品机械设
			

		

	

	

		

		
		

		

			

			
淘宝客服见识过多少人性的黑暗？心酸自述：每天几乎都在暴走边缘

			

			

			导语：淘宝网是亚太地区较大的网络零售、商圈，在2003年5月，由阿里巴巴集团创立的，也是深受中国人欢迎的一种网购零售平台。说到淘宝我们就会想到淘宝客服，不管是男生和女生，应该都和淘宝客服打过交道，不管是买衣服买电器还是
			

		

	

	

		

		
		

		

			

			
2022.6.20周一观点

			

			

			几大指数收盘虽然涨跌不一，但板块之间轮动有序； 比如金融等蓝筹板块强势的时候上证指数上涨力度强，而金融板块休整的阶段中小市值品种趁机而上，深小创指数强。 一轮大的上涨周期，指数、板块之间的轮动节奏虽然不一致，但基本
			

		

	

	

		

		
		

		

			

			
深圳大学“腾班”迎来首届毕业生，超过90%学生已落实去向

			

			

			 记者 崔鹏2022年大学毕业季到来之时，根据教育部的统计，今年高校毕业生总规模首次突破一千万大关。根据国家统计局的数据，4月份全国城镇调查失业率提升至6.1%，青年失业率创下18.2%的新高。今年，深圳大学腾讯云人工智能特色
			

		

	

	

		

		
		

		

			

			
大国“粮”策丨全球粮价飙升，如何端牢14亿中国人的“饭碗”？一图看懂

			

			

			联合国全球粮食、能源和金融危机应对小组近日发布的报告称，联合国粮农组织粮食价格指数目前接近历史最高点，比去年同期高出20.8%。作者：毕凤至,梁多利栏目主编：顾万全 张武 文字编辑：宋慧 来源：作者：21财经
			

		

	

	

		

		
		

		

			

			
6月LPR保持不变，专家：货币政策整体上处于效果观察期

			

			

			央广网北京6月20日消息(记者门庭婷)6月20日，中国人民银行授权全国银行间同业拆借中心公布，2022年6月20日贷款市场报价利率(LPR)为：1年期贷款市场报价利率(LPR)为3.7%，5年期LPR为4.45%，均与上月持平。贝壳研究院市场分析师
			

		

	

	

		

		
		

		

			

			
炒房日本血本无归：500多中国人被收割，亏了几个亿

			

			

			 房是用来住的，不是用来炒的。 正解局出品 过去20年，干什么合法买卖最赚钱？ 那肯定是买房。 一些人也就想把这个生意做到日本去，但不想却翻了车。 前几天，就有报道说，500多个中国人在日本炒房，数亿投资款可能最后血本无归。
			

		

	

	

		

		
		

		

			

			
2013年，华夏证券前董事长邵淳突然公开：买瓦良格号的钱是我垫的

			

			

			“买瓦良格号的钱是我垫的。”2013年2月6日，前中国华夏证券董事长邵淳的这一句话宛如平地爆出一个惊雷，差点惊掉众人的下巴。邵淳有人说他是痴人说梦，有人说他是无中生有，但却鲜少有人愿意相信这件事情真的是邵淳做的。因
			

		

	

	

		

		
		

		

			

			
命由天定，生辰自有造化

			

			

			  命由天定，生辰自有造化；有时候，我们终其一生，机关算尽，到了也不过是命运的玩物。阎王叫你三更死，谁敢留你到五更？在生死面前，好像所有的一切都没有了意义，什么名与利，什么贤妻爱子，什么雄心壮志，都瞬间化成了泡影！纵使学过这么多
			

		

	

	

		

		
		

		

			

			
早安心语正能量短句，最新早安心灵鸡汤励志语录句子

			

			

			1.有些风景，如果你不站在高处，你永远体会不到它的魅力;有些路，如果你不去启程，你永远不知道它是多么的美丽。早安！2.快要坚持不下去的时候，在心里对自己说，加油加油加油加油……早安！ 3.吃得苦中苦，方为人上人。请享受无法回避
			

		

	

	

		

		
		

		

			

			
小众高级的短句个性文案

			

			

			1、开心就好 过去不足挂齿。2、时间和我都在往前走。3、慢热喜静 往哪走 都是往前走。4、青山一片云雾 心安即归处。5、承诺只有听过的人才会记得。 6、很笨所以喜欢简单和真诚。7、慢慢理解生活 慢慢更新自己。8、有
			

		

	

	

		

		
		

		

			

			
这四十条道理，懂得越早越好

			

			

			1、三年学说话，一生学闭口。2、遇到大事，先解决情绪，后解决问题。3、工作中做事要留有证据，多发邮件，将过往资料存个底。4、你变优秀了，其他事情才会跟着好起来。5、养成上完厕所回头看一看的好习惯，这是大病最早的发现先兆
			

		

	

	

		

		
		

		

			

			
Kubernetes（k8s）安装以及搭建k8s-Dashboard详解

			

			

			一、前期准备1）前提条件三台兼容的 Linux 主机。Kubernetes 项目为基于 Debian 和 Red Hat 的 - - Linux 发行版以及一些不提供包管理器的发行版提供通用的指令每台机器 2 GB 或更多的 RAM （如果少于这个数字将会影响你
			

		

	


上滑加载更多 ↓






	

	
推荐阅读：


	

		

			

			
6月科技圈重大消息，华为鸿蒙系统征服外国，苹果或使用USB

			

		

	


	

		

			

			
小米MIX4又降价：屏下镜头+120W快充，用户纷纷买单

			

		

	


	

		

			

			
学会了MybatisPlus，代码开发效率提高了10倍

			

		

	


	

		

			

			
Snap中国张晰：每天2.5亿用户玩AR，Snap深耕中国做出海“

			

		

	


	

		

			

			
Java使用FreeMarker模版技术动态生成word实践

			

		

	


	

		

			

			
连败美国日本，中国女排再收特大利好，朱婷最新动态令人兴

			

		

	


	

		

			

			
20日NBA8大交易动态综述，哈登和欧文签约动态渐渐浮出水

			

		

	


	

		

			

			
一夜8大交易签约动态！费城希望哈登签约3年 火箭考虑留

			

		

	


	

		

			

			
代码面试最常用的10大算法

			

		

	


	

		

			

			
对庄翡翠7周年：从艰难突围到千万用户认可

			

		

	


	

	
	

	
友情链接：

	

		
	

	


	

	
更多：

	

		
本站资料均由网友自行发布提供，仅用于学习交流。如有版权问题，请与我联系，QQ：4156828  

		
© CopyRight 2008-2024 All Rights Reserved. Powered By bs178.com  闽ICP备11008920号-3
闽公网安备35020302034844号

	

	

	




Top