SpringSecurity

1
@Service
2
public class CustomUserDetailsService implements UserDetailsService {
3

4
    // 注入MyBatis的Mapper（替代之前的JPA Repository）
5
    @Autowired
6
    private UserMapper userMapper;
7

8
    @Override
9
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
10
        // 1. 通过Mapper从数据库查询用户（含角色）
11
        SysUser sysUser = userMapper.selectUserByUsername(username);
12

13
        // 2. 用户不存在则抛出异常（Spring Security会捕获并处理）
14
        if (sysUser == null) {
15
            throw new UsernameNotFoundException("用户名不存在：" + username);
16
        }
17

18
        // 3. 转换为Spring Security的UserDetails对象
19
        // 处理角色：拼接ROLE_前缀（Spring Security的权限命名规范）
20
        List<GrantedAuthority> authorities =       sysUser.getRoles().stream()
21
                .map(role -> new SimpleGrantedAuthority("ROLE_" + role.getRoleName()))
22
                .collect(Collectors.toList());
23

24
        // 构建UserDetails（核心：用户名、加密密码、权限列表）
25
        return User.withUsername(sysUser.getUsername())
26
                .password(sysUser.getPassword()) // 数据库中已加密的密码
27
                .authorities(authorities) // 用户权限
28
                .accountExpired(false) // 账号未过期
29
                .accountLocked(false) // 账号未锁定
30
                .credentialsExpired(false) // 凭证未过期
31
                .enabled(true) // 账号启用（已通过SQL的status=1过滤）
32
                .build();
33
    }
34
}

1
@Configuration
2
@EnableWebSecurity
3
public class SecurityConfig {
4

5
    private final UserDetailsService userDetailsService;
6
    private final PasswordEncoder passwordEncoder;
7

8
    // 构造注入
9
    public SecurityConfig(UserDetailsService userDetailsService, PasswordEncoder passwordEncoder) {
10
        this.userDetailsService = userDetailsService;
11
        this.passwordEncoder = passwordEncoder;
12
    }
13

14
    @Bean
15
    public PasswordEncoder passwordEncoder() {
16
        return new BCryptPasswordEncoder(); // 配置密码编辑器
17
    }
18

19
    @Bean
20
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
21
        http
22
            .authorizeHttpRequests(auth -> auth
23
                .requestMatchers("/login", "/static/**", "/public/**").permitAll() // 公开接口
24
                .anyRequest().authenticated() // 其他请求需要认证
25
            )
26
            .formLogin(form -> form
27
                .loginPage("/login") // 自定义登录页面（可选）
28
                .loginProcessingUrl("/doLogin") // 处理登录请求的URL，对应图中的POST /login
29
                .usernameParameter("username") // 登录表单中用户名的参数名
30
                .passwordParameter("password") // 登录表单中密码的参数名
31
                .defaultSuccessUrl("/index", true) // 登录成功后的跳转页面
32
                .failureUrl("/login?error") // 登录失败后的跳转页面
33
            )
34
            .logout(logout -> logout
35
                .logoutUrl("/logout")
36
                .logoutSuccessUrl("/login?logout")
37
            )
38
            .csrf(csrf -> csrf.disable()); // 前后端分离时通常关闭CSRF保护
39

40
        return http.build();
41
    }
42

43
    // 配置AuthenticationManager使用自定义的UserDetailsService和PasswordEncoder
44
    @Bean
45
    public AuthenticationManager authenticationManager(AuthenticationConfiguration config) throws Exception {
46
        return config.getAuthenticationManager();
47
    }
48
}

1
    @Bean
2
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
3
        http
4
            // ========== 授权规则核心配置 ==========
5
            .authorizeHttpRequests(auth -> auth
6
                // 1. 公开接口：所有人可访问（无需授权）
7
                .requestMatchers("/", "/login", "/public/**").permitAll()
8

9
                // 2. 管理员接口：仅拥有ROLE_ADMIN权限的用户可访问
10
                .requestMatchers("/admin/**").hasRole("ADMIN")
11

12
                // 3. 普通用户接口：拥有ROLE_USER或ROLE_ADMIN均可访问
13
                .requestMatchers("/user/**").hasAnyRole("USER", "ADMIN")
14

15
                // 4. 精确URL权限：需要特定权限（非角色，自定义权限）
16
                .requestMatchers("/order/create").hasAuthority("ORDER_CREATE")
17

18
                // 5. 剩余所有请求：必须认证（登录后）才能访问
19
                .anyRequest().authenticated()
20
            )
21
            // 认证相关配置（复用之前的登录/登出）
22
            .formLogin(form -> form
23
                .loginPage("/login")
24
                .loginProcessingUrl("/doLogin")
25
                .permitAll()
26
            )
27
            // 403异常处理（授权失败）
28
            .exceptionHandling(ex -> ex
29
                .accessDeniedPage("/403") // 授权失败跳转页面（前后端分离可换JSON处理器）
30
                // 前后端分离场景：自定义403返回JSON
31
                // .accessDeniedHandler(customAccessDeniedHandler())
32
            );
33

34
        return http.build();
35
    }

1
@Service
2
public class AdminService {
3

4
    // 仅允许ADMIN角色调用该方法
5
    @PreAuthorize("hasRole('ADMIN')")
6
    public void deleteUser(Long userId) {
7
        // 业务逻辑：删除用户
8
    }
9

10
    // 允许USER或ADMIN角色，且用户ID匹配（自定义EL表达式）
11
    @PreAuthorize("hasAnyRole('USER','ADMIN') and authentication.name == #username")
12
    public UserInfo getUserInfo(String username) {
13
        // 业务逻辑：查询用户信息
14
    }
15

16
    // 方法执行后验证权限（很少用）
17
    @PostAuthorize("returnObject.username == authentication.name")
18
    public UserInfo getCurrentUserInfo() {
19
        // 业务逻辑：返回当前用户信息
20
    }
21
}