在以前做东西的时候，对于认证鉴权的框架技术选型，通常使用Apache Shiro，可能是接触比较早，感觉用起来比较方便的原因,知道最近接了一个好大好大的项目分布式应用+大数据数据库+私有IaaS云+PaaS，埋头苦学一星期，算是吃透了Spring Security的一半，那么一是为了记录在学习过程中的知识点，二是为了让没有接触过安全框架，或者还在使用数据库，自己写Filter比较原始方式做权限控制的朋友提供一个学习的参考。那么废话不说太多，下面开始一步一步来。

一、初识Spring Security

首先看名字就可以看出来，这个框架出自于Pivotal 的Spring系列。Spring Security 提供了基于javaEE的企业应用，全面的安全服务。大家使用Spring Secruity的原因有很多，但是大部分都是发现了由于javaEE的Servlet规范或EJB规范中的安全功能缺乏典型企业应用场景所需的深度。那么Security提供的 “认证”和“授权”（或者访问控制）是整个框架也是本系列博客所要讲解的重要内容。

二、引入Security依赖

Security官方链接：https://projects.spring.io/spring-security/

打开你的IED，在Maven坐标如下：想使用其他版本请去如上链接，如果你之前接触过Spring IO那么无需指定Version.

<dependencies>
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-web</artifactId>
        <version>5.0.5.RELEASE</version>
    </dependency>
</dependencies>

Gradle如下：

dependencies {
    compile 'org.springframework.security:spring-security-web:5.0.5.RELEASE'
}

三、Security的基本认证功能的使用

首先明确一个事情，Spring Security所有提供给开发者的认证和鉴权功能都是基于过滤器链的，而我看到的大部分讲解Security的博客和资料中，却很少提及每个功能作用的过滤器是谁？过滤器的执行流程是怎么样的！我之前在学习Docker和K8S的时候买的一本书讲解的非常透彻，作者不仅仅在讲怎么用！而是从：是什么？怎么用？为什么？这三方面来说，因此我会在文中通过Debug或流程图，为大家深入的讲解这款框架的东西。

3.1、HttpBasic认证

那么当你引入了Security的依赖后，无需做其他任何的事情，启动项目，访问的时候你就会发现你的应用已经有了一个基本的认证功能,其实前面说的话不是完全正确的，由于笔者之前使用的Spring Boot版本为1.5，依赖的Security 4.X版本，所以无需任何配置，启动项目访问则会弹出默认的httpbasic认证，那么本次Demo是基于security5.X ，Spring Boot2.X版本去做的，经过我翻阅官方文档和Spring Boot2.X的properties，在这个5.X的版本中已经将默认的认证方式更改为表单认证，并且security.basic.enabled属性同样是过期了的。

Spring Security修炼手册（一）————初识Security

下面的图是官方给出的属性配置，已经无security.basic.enabled

Spring Security修炼手册（一）————初识Security

在这里笔者十分负责任的说，如果想开启httpbasic认证，需要在配置类中进行配置才可以，亲测通过properties配置不生效，开启httpbasic认证的代码如下：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter
;
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter{
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        
        http
           .httpBasic()//开启httpbasic认证
        .and()
           .authorizeRequests()//Security表达式
                 .anyRequest().authenticated();//所有请求都需要认证
    }

}

启动项目，在启动的时候会发现控制台有如下输出，这个字符串就是Security默认生成的认证密码。

Spring Security修炼手册（一）————初识Security

访问应用，弹出httpbasic，通过生成的默认密码进行认证，不过这种方式基本不太会使用，不着重介绍。

Spring Security修炼手册（一）————初识Security

3.2、表单认证

表单认证是大部分业务场景中都需要使用的一种认证方式，那么如何配置，又有哪些可配置的呢？看如下代码：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurer
Adapter;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter{
    
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        
        http
        .formLogin()
            .loginPage("/loginPage.html")//用户未认证时，转跳到认证的页面
            .loginProcessingUrl("/toLogin")//form中action的地址，也就是处理认证请求的URL    
            .usernameParameter("UM")//form中用户名密码的name名
            .passwordParameter("PW")
            .defaultSuccessUrl("/index")//认证成功后默认转跳的URL
        .and()
        .authorizeRequests()
            .antMatchers("/loginPage.html","/toLogin").permitAll()//最后不要忘记将自定义的
                                                                           //如上不需要认证的URL加进来
            .anyRequest().authenticated();
    }

}

我们访问任意需要认证的URL，发现会自动转跳到配置的认证页面。

Spring Security修炼手册（一）————初识Security

我们暂时先使用内存用户，在properties中配置一个admin用户，模拟登录。

Spring Security修炼手册（一）————初识Security

登陆后，自动转跳到index的controller中，对了！如果你使用了自己的登录页面，记得将CSRF防护功能关掉哦，否则你讲无法进行认证。

Spring Security修炼手册（一）————初识Security

四、基于Spring的配置

那么通过以上代码的讲解，你应该对于认证功能的基本使用有了一定的了解，但是上面的代码中有一个开发界非常难以容忍的问题，就是含有大量的硬编码！！！那么我们如何解决的？

Spring Security修炼手册（一）————初识Security

首先我们创建三个类，分别叫：SecurityProperties、ToLoginProperties、LoginProperties，代码分别如下：

public class LoginProperties {
    
    private String loginPage = "/loginPage.html";
    
    private String loginProcessingUrl = "/toLogin";
    
    private String usernameParameter = "UM";
    
    private String passwordParameter = "PW";
    
    private String defaultSuccessUrl = "/index";

    public String getLoginPage() {
        return loginPage;
    }

    public void setLoginPage(String loginPage) {
        this.loginPage = loginPage;
    }

    public String getLoginProcessingUrl() {
        return loginProcessingUrl;
    }

    public void setLoginProcessingUrl(String loginProcessingUrl) {
        this.loginProcessingUrl = loginProcessingUrl;
    }

    public String getUsernameParameter() {
        return usernameParameter;
    }

    public void setUsernameParameter(String usernameParameter) {
        this.usernameParameter = usernameParameter;
    }

    public String getPasswordParameter() {
        return passwordParameter;
    }

    public void setPasswordParameter(String passwordParameter) {
        this.passwordParameter = passwordParameter;
    }

    public String getDefaultSuccessUrl() {
        return defaultSuccessUrl;
    }

    public void setDefaultSuccessUrl(String defaultSuccessUrl) {
        this.defaultSuccessUrl = defaultSuccessUrl;
    }
    
    
}


public class ToLoginProperties {
    
    private LoginProperties loginProperties = new LoginProperties();

    public LoginProperties getLoginProperties() {
        return loginProperties;
    }

    public void setLoginProperties(LoginProperties loginProperties) {
        this.loginProperties = loginProperties;
    }

}


import org.springframework.boot.context.properties.ConfigurationProperties;
import org.springframework.stereotype.Component;

@Component
@ConfigurationProperties(prefix = "jy.security")
public class SecurityProperties {

    private ToLoginProperties toLoginProperties = new ToLoginProperties();

    public ToLoginProperties getToLoginProperties() {
        return toLoginProperties;
    }

    public void setToLoginProperties(ToLoginProperties toLoginProperties) {
        this.toLoginProperties = toLoginProperties;
    }
    
}

通过以上代码，我们就可以读取到配置文件中，以“jy.security”开头的属性，并将属性对应的值注入到其中，这样当我们配置了对应属性的时候，值即被替换，未配置的时候则走我们的默认值。

然后我们把securityconfig类在修改一下，不在使用硬编码，而是将SecurityProperties类注入。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

import com.spring.demo.peoperties.SecurityProperties;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter{
    
    @Autowired
    private SecurityProperties securityProperties;
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        
        http
            .formLogin()
                .loginPage(securityProperties.getToLoginProperties().getLoginProperties().getLoginPage())//用户未认证时，转跳到认证的页面
                .loginProcessingUrl(securityProperties.getToLoginProperties().getLoginProperties().getLoginProcessingUrl())//form中action的地址，也就是处理认证请求的URL    
                .usernameParameter(securityProperties.getToLoginProperties().getLoginProperties().getUsernameParameter())//form中用户名密码的name名
                .passwordParameter(securityProperties.getToLoginProperties().getLoginProperties().getPasswordParameter())
                .defaultSuccessUrl(securityProperties.getToLoginProperties().getLoginProperties().getDefaultSuccessUrl())//认证成功后默认转跳的URL
        .and()
        .authorizeRequests()
            .antMatchers(securityProperties.getToLoginProperties().getLoginProperties().getLoginPage(),
                         securityProperties.getToLoginProperties().getLoginProperties().getLoginProcessingUrl()).permitAll()
            .anyRequest().authenticated()
        .and()
            .csrf().disable()
            ;
    }
    
    

}

最后我们做一个测试，证明通过配置文件的方式，可以对我们的配置类修改，我们修改未认证时转跳的认证页面的URL为“/loginTest”

Spring Security修炼手册（一）————初识Security