Java-Secruity-2

?可以先看这篇文章

Secruity-1👈

1、授权

1.1 权限管理

在日常使用的系统中都会涉及到权限相关的操作，管理员有管理员的操作，用户有用户的操作，不同的用户可以使用不同的功能，这需要使用到权限管理。

所以在写接口的时候需要在后台进行用户权限的判断，判断当前用户是否有相应的权限，必须具有所需权限才能进行相应的操作。

RBAC权限模型

user表

menu表

role表

role_menu表

user_role表

?sql语句

通过user_id关联user_role得到用户的role_id

通过role_id关联role得到角色对应的信息

通过role_id关联role_menu得到menu_id

通过menu_id关联menu得到权限的具体信息

2.2 授权实现

2.2.1 设置资源权限

• 启动类开启配置

  @EnableGlobalMethodSecurity(prePostEnabled = true)

• 注解配置

  @RequestMapping
  // 设置这个接口需要system:class:list权限，这个可以在数据库的sys_menu中查找
  @PreAuthorize("hasAnyAuthority('在数据库设置的权限标识')")
  public String queryAll() {
   ? ?System.out.println("queryAll");
   ? ?return "user";
  }

  重写LoginUser里的getAuthorities

• // 存储每个用户的权限信息
      private List<String> permissions;
  
  
  
      @JsonIgnore// 不手动添加的话后去反序列化会出现异常
      /*
      authorities用于在底下的getAuthorities返回
      登入成功后,会把用户信息存在redis里java的数据是以对象的形式表示
      redis的数据表示格式和java不一样,需要进行数据格式的转化
       */
              // 权限集合需要转换成这种类型的Security才能判断
      List<GrantedAuthority> authorities = new ArrayList<>();
  
      @Override
      public Collection<? extends GrantedAuthority> getAuthorities() {
  
          //现在要做的就是把上面定义的authorities放入每个用户的权限信息
          for(String permission:permissions) {
              authorities.add(new SimpleGrantedAuthority(permission));
          }
          return authorities;
      }

  mapper

• public interface UserMapper extends BaseMapper<MsUser> {
  
      List<String> getPermissions(Long userId);
  
  }

  xml

• <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN"
          "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
  <mapper namespace="com.example.demo.mapper.UserMapper">
  
      <select id="getPermissions" resultType="string">
          SELECT t5.key FROM user t1
              JOIN user_role t2 on t1.id = t2.user_id
              JOIN role t3 ON t3.role_id = t2.role_id
              JOIN role_menu t4 ON t4.role_id = t3.role_id
              JOIN menu t5 ON t5.menu_id = t4.menu_id
          WHERE t1.id = #{userId}
      </select>
  
  
  </mapper>
  

  UserDetailsServiceImpl中获取权限信息

• 
  
  // 重写了UserDetailsService，控制台就没有打印生成的密码。因为我们自定义了登录流程
  @Service
  public class UserDetailsServiceImpl implements UserDetailsService {
  
      @Autowired
      private IUserService userService;
      @Autowired
      private UserMapper userMapper;
  
      // UserDetails: security存放登录用户信息
      @Override
      public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
          System.out.println("loadUserByUsername");
          LambdaQueryWrapper<MsUser> qw = new LambdaQueryWrapper<>();
          qw.eq(MsUser::getUsername, username);
          // 根据账号查询用户信息
          MsUser msUser = userService.getOne(qw);
  
          // TODO: 统一处理异常
          if(msUser == null) {
              throw new RuntimeException("账号不存在");
          }
  
          LoginUser loginUser = new LoginUser();
          loginUser.setMsUser(msUser);
  
          //这里底下是登录成功要做的事
          
          // 获取权限信息
          List<String> permissions = userMapper.getPermissions(msUser.getId());
          // 将权限信息装到loginUser对象
          loginUser.setPermissions(permissions);
  
          return loginUser;
      }
  
  }
  

  自定义权限校验

• @Component("ss")
  //类名方法名怎么定义都行
  public class MyExpressionUtil {
  
      //判断当前用户有没有当前方法上的标识
      public boolean myAuthority(String key) {
  
          //SecurityContextHolder.getContext()获取用户信息
          // 获取用户的权限列表
          Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
  
          // 获取到登录的用户
          LoginUser loginUser = (LoginUser) authentication.getPrincipal();
  
          // 拿到该用户的权限
          List<String> permissions = loginUser.getPermissions();
  
          return permissions.contains(key);
      }
  
  

  控制层的方法上加上注解

•  @GetMapping("/test1")
      @PreAuthorize("@ss.myAuthority('t1')")
      public String test1() {
          System.out.println("test1");
          return "test1";
      }

  3.1 简介

  前面写的接口，如果有错误异常等，前端看不见也不知道什么问题，所以一般会做一个统一的错误处理，可以使用SpringSecurity的异常处理机制。

  在SpringSecurity中，如果我们在认证或者授权的过程中出现了异常会被ExceptionTranslationFilter捕获到。在ExceptionTranslationFilter中会去判断是认证失败还是授权失败出现的异常。

  如果是认证过程中出现的异常会被封装成AuthenticationException然后调用AuthenticationEntryPoint对象的方法去进行异常处理。

  如果是授权过程中出现的异常会被封装成AccessDeniedException然后调用AccessDeniedHandler对象的方法去进行异常处理。

  所以如果我们需要自定义异常处理，我们只需要自定义AuthenticationEntryPoint和AccessDeniedHandler然后配置给SpringSecurity即可。

统一返回数据Result?

@Data
public class R<T> {

    private String msg;

    private Integer code;

    private T data;

    public R() {
    }

    public R(String msg, Integer code, T data) {
        this.msg = msg;
        this.code = code;
        this.data = data;
    }

    public static R success() {
        return new R("操作成功！！", 200, null);
    }

    public static <T> R success(T data) {
        return new R("操作成功！！", 200, data);
    }

    public static R error() {
        return new R("操作失败！！", 500, null);
    }

    public static R error(String msg, Integer code) {
        return new R(msg, code, null);
    }

    public static R to(int rs) {
        return rs > 0 ? R.success() : R.error();
    }
    
}

捕捉认证失败

//捕捉认证过程出现的异常(token异常)
@Component
public class AuthenticationEntryPointImpl implements AuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
        response.setContentType("application/json;charset=utf8");
        response.getWriter().write(JSON.toJSONString(R.error("认证失败", 401)));
    }
}

捕捉授权失败

//捕捉授权失败的异常(权限异常)
@Component
public class AccessDeniedHandlerImpl implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException {
        response.setContentType("application/json;charset=utf8");
        response.getWriter().write(JSON.toJSONString(R.error("没有权限", 403)));
    }
}

3.3 配置给SpringSecurity

修改configure方法(Security配置的过滤器都要加到这里)

@Autowired
private AuthenticationEntryPointImpl authenticationEntryPoint;
@Autowired
private AccessDeniedHandlerImpl accessDeniedHandler;
?
// 配置异常处理器
http
 ?  .exceptionHandling()
 ?  .authenticationEntryPoint(authenticationEntryPoint)
 ?  .accessDeniedHandler(accessDeniedHandler);