Spring Security十分钟入门教程

目录

• 写在前面
• 目标
• 开始
• 不引入Spring Security访问接口
• 引入Spring Security访问接口
• 退出登录
• 后记

写在前面

我们在学习技术的过程中，学习的渠道大概有以下几种：看书，视频，博客。我们会发现，一种技术开始流行的时候，各种形式的讲述也就出现了。那么，出书，录视频，写博客的人，在他们之前，是没有什么现成的东西让他们学习的，他们是怎么上手的呢？换句话说，怎么才能有效的快速的上手一门技术呢？

这篇文章，我们一起从零开始学习SpringSecurity，技术点不重要，重要的是学习方式。

说来惭愧，在写这个专栏之前，我并没有学习过SpringSecurity。这也是我的一次新的尝试。

目标

这篇文章的目标是实现简单的登录，退出功能。展示从一无所知，到使用这个技术处理简单需求的全过程。

开始

我们知道，Spring的社区支持特别完善，Spring全家桶的文档特别好，那么我们话不多说，打开Spring Security 官网看一下。

看完这个图片我们明白了，得创建一个SpringBoot工程，构建工具我们选择常用的maven，然后引入SpringSecurity的starter即可，当然为了测试引入SpringSecurity之后访问接口的变化，我们要引入web的starter，就像是SpringBoot入门时候一样

不引入Spring Security访问接口

创建SpringBoot工程，这个太简单了，不过多赘述

<?xml version=\"1.0\" encoding=\"UTF-8\"?>
<project xmlns=\"http://maven.apache.org/POM/4.0.0\" xmlns:xsi=\"http://www.w3.org/2001/XMLSchema-instance\"
         xsi:schemaLocation=\"http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd\">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.7.3</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.nightcat</groupId>
    <artifactId>security</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>security</name>
    <description>Demo project for Spring Boot</description>
    <properties>
        <java.version>1.8</java.version>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-test</artifactId>
            <scope>test</scope>
        </dependency>
    </dependencies>
    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>
</project>

package com.nightcat.security.controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class HelloController {
    @RequestMapping(\"/hello\")
    public String hello() {
        return \"hello Security\";
    }
}

把项目启动起来，之后输入localhost:8080/hello,就会看到浏览器显示helloSecurity。

引入Spring Security访问接口

其实所有的安全管理框架，需要解决的就是两件事，认证和鉴权，认证是判断用户是不是当前系统的用户，不是就不让他用系统，鉴权简单理解就是，有权限访问系统的哪些部分，比如有些功能你要登录之后才能用，有些功能是内部人员可用，即根据角色分配权限，根据权限分配可用范围。

<dependency>
   <groupId>org.springframework.boot</groupId>
   <artifactId>spring-boot-starter-security</artifactId>
</dependency>

加入SpringSecurity依赖。

这个时候，如果再访问 hello接口，就会出现一个页面，让咱们登录。

可是到目前为止，我们根本不知道用户名和密码，更不知道这个页面从哪来的，我们目前的项目里，没有自己写任何页面。没办法，继续看文档。

我们的工程是Servlet工程，看看文档是怎么写的。

在快速上手章节有一个Spring Boot Auto Configuration,文档写的非常明白，主要做了三件事

①创建了一个SpringSecurityFilterChain

②创建了一个UserDetailsService，用户名是user ，一个随机的密码是在控制台打印出来了。

③把 SpringSecurityFilterChain，注册到Web容器里，每个请求都经过它

好了，看到第二条，我们就能登录了。

文档中提到了，每次随机生成一个密码供用户登录使用，我们先来看看那个密码长什么样子：

Using generated security password: caab29d4-b177-4fa7-85e2-f23a1f6246cf

这个密码显然不是我们想要的，总不能每次启动项目，都生成一个新的密码，而且用户名也不可能都叫做user，我们希望能自己定制用户名和密码。我们现在并不知道该怎么做。继续读文档。

我们来看看SpringSecurity给我们提供的例子：Spring Security 例子

我们看到了，SpringSecurity提供的例子，有199次提交，我们找到最开始的几次提交记录。看看它都做了什么。

找到了

那我们照葫芦画瓢，把中间的用户名和密码改一下，然后登录。

package com.nightcat.security.config;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
@Configuration
@EnableWebSecurity
public class SecurityConfiguration {
    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails user = User.withDefaultPasswordEncoder()
                .username(\"zhangsan\")
                .password(\"123\")
                .roles(\"USER\")
                .build();
        return new InMemoryUserDetailsManager(user);
    }
}

好了，剩下的东西我们先本着不求甚解，一步步来的原则，先看看zhangsan/123能不能登录。

我这里直接给结论吧，不再截图，是可以登录的，并且每次都是这个用户名和密码。

退出登录

我们实现了登录，退出登录怎么做呀？我们不知道引入SpringSecurity之后怎么做，还是看它的例子，我们发现它并没有编写退出登录的接口，我们以前的常规操作就是，点击按钮然后把当前登录人从Session中remove掉就行了。那SpringSecurity是怎么做的呢？继续看它的例子。

我们虽然没有找到它处理退出逻辑的自定义接口，但是我们发现它的页面中url是/logout,那么我们直接尝试一下从浏览器输入这个url

哎呦，还真的可以，点击logout就退出了。

后记

刚开始学，我们不用对自己要求太高，应该掌握一种思路，如何上手新技术，完成最最简单的功能再一步步迭代。这里留了很多坑，比如角色权限的配置，比如集成数据库，比如用户策略这些，比如我们要在退出的时候实现一些逻辑再退出，其实我自己也不会，都需要一步步去学习，我们应该掌握方法，消除对陌生技术的恐惧感。