比springsecurity好用的权限认证框架

本篇博客在上篇博客的基础上添加了权限管理功能。在SSM框架中，我们使用springsecurity来实现权限管理。

1、导jar包

打开ssm_parent项目的pom.xml文件。在properties里面添加springsecurity的版本号

<spring.security.version>5.0.1.RELEASE</spring.security.version>

在dependencies里面导入jar包

<dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-web</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-config</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-core</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-taglibs</artifactId>
            <version>${spring.security.version}</version>
        </dependency>

2、添加过滤器

在web.xml文件中添加过滤器，拦截所有的登录请求

<!-- springsecurity过滤器 -->
  <filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

3、配置spring-security.xml文件

在spring-security.xml文件里面，我们配置好了当有登录请求时指向的url、登录成功的url、登录失败的url和注销的url

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:security="http://www.springframework.org/schema/security"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security.xsd">

    <security:global-method-security pre-post-annotations="enabled" jsr250-annotations="enabled" secured-annotations="enabled"></security:global-method-security>

    <!-- 配置不拦截的资源 -->
    <security:http pattern="/login.jsp" security="none"/>
    <security:http pattern="/failer.jsp" security="none"/>
    <security:http pattern="/css/**" security="none"/>
    <security:http pattern="/img/**" security="none"/>
    <security:http pattern="/plugins/**" security="none"/>
    <!--
    	配置具体的规则
    	auto-config="true"	不用自己编写登录的页面，框架提供默认登录页面
    	use-expressions="false"	是否使用SPEL表达式（没学习过）
    -->
    <security:http auto-config="true" use-expressions="true">
        <!-- 配置具体的拦截的规则 pattern="请求路径的规则" access="访问系统的人，必须有ROLE_USER的角色" -->
        <security:intercept-url pattern="/**" access="hasAnyRole('ROLE_USER','ROLE_ADMIN')"/>

        <security:form-login login-page="/login.jsp"
                             login-processing-url="/login.do"
                            default-target-url="/index.jsp"
                            authentication-failure-url="/failer.jsp"
                            authentication-success-forward-url="/pages/main.jsp"/>

        <!-- 关闭跨域请求 -->
        <security:csrf disabled="true"/>

        <!--退出并跳转到首页-->
        <security:logout invalidate-session="true" logout-url="/logout.do" logout-success-url="/login.jsp"></security:logout>

    </security:http>

    <!-- 切换成数据库中的用户名和密码 -->
    <security:authentication-manager>
        <security:authentication-provider user-service-ref="userService">
            <!-- 配置加密的方式
            <security:password-encoder ref="passwordEncoder"/>　-->
        </security:authentication-provider>
    </security:authentication-manager>

    <!-- 配置加密类 -->
    <bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>
    <!-- <bean id="webexpressionHandler" class="org.springframework.security.web.access.expression.DefaultWebSecurityExpressionHandler" />-->
    <!-- 提供了入门的方式，在内存中存入用户名和密码
    <security:authentication-manager>
    	<security:authentication-provider>
    		<security:user-service>
    			<security:user name="admin" password="{noop}admin" authorities="ROLE_USER"/>
    		</security:user-service>
    	</security:authentication-provider>
    </security:authentication-manager>
    -->
</beans>

4、web.xml添加spring-security.xml路径

<!-- 配置加载类路径的配置文件 -->
  <context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>classpath*:applicationContext.xml,classpath*:spring-security.xml</param-value>
  </context-param>

5、新建数据库表

我们需要建立role、users_role表来保存数据。role表保存每个角色的id、角色名、角色描述。users_role表保存user的id和他所对应的角色的id，来建立userInfo表与role表的联系。

• role表结构：

• role表数据：

• users_role表结构：

• users_role表数据：

• userInfo表数据：

6、Role类、IRoleDao接口、rolemapper.xml

在ssm_bean项目里的bean文件夹新建Role类，里面添加与数据库的role表相符的变量，并实现相应的方法

package com.zhongruan.bean;
public class Role {
    private int id;
    private String roleName; //角色名
    private String roleDesc; //角色描述
    public int getId() {
        return id;
    }
    public void setId(int id) {
        this.id = id;
    }
    public String getRoleName() {
        return roleName;
    }
    public void setRoleName(String roleName) {
        this.roleName = roleName;
    }
    public String getRoleDesc() {
        return roleDesc;
    }
    public void setRoleDesc(String roleDesc) {
        this.roleDesc = roleDesc;
    }
    @Override
    public String toString() {
        return "Role{" +
                "id=" + id +
                ", roleName='" + roleName + '\'' +
                ", roleDesc='" + roleDesc + '\'' +
                '}';
    }
}

在ssm_dao项目里的dao文件夹下新建IRoleDao接口，在里面声明findRoleByUserId方法。这个方法是根据userId来查询到它在users_role表中的roleId，然后再根据这个roleId来查询它在role表里面的所有角色。

package com.zhongruan.dao;
import com.zhongruan.bean.Role;
import java.util.List;
public interface IRoleDao {
    public List<Role> findRoleByUserId(int userId);
}

在ssm_dao项目里的mapper文件夹新建rolemapper.xml文件，在里面通过sql语句实现findRoleByUserId方法。注意命名空间要写IRoleDao接口。

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd" >
<mapper namespace="com.zhongruan.dao.IRoleDao" >
    <select id="findRoleByUserId" parameterType="int" resultType="com.zhongruan.bean.Role">
        select * from role where id in(select roleId from users_role where userId=#{userId})
    </select>
</mapper>

7、UserInfo类

我们需要在UserInfo类里声明List型的对象来保存用户的角色的数据，并且添加setter、getter方法，重写toString方法

private List<Role> roles;
    public List<Role> getRoles() {
        return roles;
    }
    public void setRoles(List<Role> roles) {
        this.roles = roles;
    }
        @Override
    public String toString() {
        return "UserInfo{" +
                "id=" + id +
                ", username='" + username + '\'' +
                ", password='" + password + '\'' +
                ", roles=" + roles +
                '}';
    }

8、IUserDao接口、usermapper.xml

IUserDao接口里面声明findByUserName方法，这个方法是根据userName在userinfo表查找它的所有数据。

public UserInfo findByUserName(String username);

usermapper.xml里面通过sql语句实现方法

<select id="findByUserName" parameterType="String" resultType="com.zhongruan.bean.UserInfo">
     select * from userinfo where username=#{username}
</select>

9、IUserService接口、UserService类

IUserService接口继承UserDetailsService类

public interface IUserService extends UserDetailsService {}

UserService的@Service注解添加上值“userService”。因为在spring-security.xml里面设置了要从userService类里面调用方法，但是我们类的名字是UserService，与设置的名字不同，所以要在@Service处添加值“userService”让程序能够调用到UserService的方法
因为IUserService接口继承了UserDetailsService类，所以要在UserService里面实现对应的方法loadUserByUsername(String username)。
根据username查到userInfo对象，根据对象的userId查找到user的roles的列表。新建User的对象需要username，password和权限。password需加上"{noop}"来加密，不然会出错。权限通过List getAuthority(List roles)方法获得，在这个方法里面，for循环roles，根据role的rolename添加权限，返回权限list。最后返回User

@Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        UserInfo userInfo=userDao.findByUserName(username);
        User user=null;
        if(userInfo!=null){
            List<Role> roles=roleDao.findRoleByUserId(userInfo.getId());
            userInfo.setRoles(roles);
            user =new User(userInfo.getUsername(),"{noop}"+userInfo.getPassword(),getAuthority(roles));
        }
        return user;
    }

    private List<SimpleGrantedAuthority> getAuthority(List<Role> roles) {
        List<SimpleGrantedAuthority> list=new ArrayList<>();
        for(Role role:roles){
            list.add(new SimpleGrantedAuthority("ROLE_"+role.getRoleName()));
        }
        return list;
    }

10、UserController类

把doLogin方法注释掉，因为不需要用到。login.jsp的绝对路径要把/user去掉，因为在spring-security.xml文件中，配置好了url：login.do，会自动调用userService里面的方法。

11、aside.jsp

在文件头部添加如下代码，调用security

<%@taglib prefix="security" uri="http://www.springframework.org/security/tags" %>

然后在“在线”处添加用户的名字

<div class="pull-left info">
		<!--显示用户名-->
		<security:authentication property="principal.username"></security:authentication>
		<a href="#"><i class="fa fa-circle text-success"></i> 在线</a>
</div>

因为用户管理功能只有admin角色才有权限使用，所以要给用户管理设置权限，用security:authorize包住整个显示用户管理的部分

<security:authorize access="hasRole('ADMIN')">
	<a
		href="${pageContext.request.contextPath}/user/findAll.do?page=1&size=5"> <i
			class="fa fa-circle-o"></i> 用户管理
	</a>
</security:authorize>

12、header.jsp

在文件头部添加如下代码，调用security

<%@taglib prefix="security" uri="http://www.springframework.org/security/tags" %>

然后在用户图片处添加用户名

<security:authentication property="principal.username"></security:authentication>

接着在”注销“处设置绝对路径logout.do，因为在spring-secutiry文件设置了这个url，执行这个url会跳转到login页面

<div class="pull-right">
	<a href="${pageContext.request.contextPath}/logout.do"
			class="btn btn-default btn-flat">注销</a>
</div>

13、最终结果

在用户名处输入admin，在密码处输入admin

登录进去之后，可以看到左边和右上角都显示了admin的名字。点击系统管理可以看到用户管理和角色管理。

点击右上角，点击注销，会回到登录界面

回到登录界面之后，在用户处输入user，密码输入user，点击登录

可以看到user的名字都显示出来了，并且点击系统管理，只能显示出角色管理。