Spring Security6配置方法(廢棄WebSecurityConfigurerAdapter)
更新時間：2023年12月29日 10:20:35 作者：markvivv
本文主要介紹了Spring Security6配置方法(廢棄WebSecurityConfigurerAdapter),就像文章標(biāo)題所說的,SpringSecurity已經(jīng)廢棄了繼承WebSecurityConfigurerAdapter的配置方式,下面就來詳細(xì)的介紹一下,感興趣的可以了解一下
一、背景
最近阿里云的項(xiàng)目遷回本地運(yùn)行，數(shù)據(jù)庫從阿里云的RDS（即Mysql5.6）換成了本地8.0，Redis也從古董級別的2.x換成了現(xiàn)在6，忍不住，手癢，把jdk升級到了17，用zgc垃圾回收器，源代碼重新編譯重新發(fā)布，結(jié)果碰到了古董的SpringBoot不支持jdk17，所以有了這篇日志。記錄一下SpringBoot2+SpringSecurity+JWT升級成SpringBoot3+SpringSecurity+JWT，就像文章標(biāo)題所說的，SpringSecurity已經(jīng)廢棄了繼承WebSecurityConfigurerAdapter的配置方式，那就的從頭來咯。
在Spring Security 5.7.0-M2中，Spring就廢棄了WebSecurityConfigurerAdapter，因?yàn)镾pring官方鼓勵用戶轉(zhuǎn)向基于組件的安全配置。本文整理了一下新的配置方法。
在下面的例子中，我們使用Spring Security lambda DSL和HttpSecurity#authorizeHttpRequests方法來定義我們的授權(quán)規(guī)則，從而遵循最佳實(shí)踐。
二、配置成功后根據(jù)配置的情況整理的類圖
三、配置詳情
3.1. 啟用WebSecurity配置
@Configuration
@EnableWebSecurity
public class SecurityConfig {
}以下的配置在SecurityConfig內(nèi)完成。
3.1.1. 注冊SecurityFilterChain Bean，并完成HttpSecurity配置
在HttpSecurity中注意使用了lambda寫法，使用這種寫法之后，每個設(shè)置都直接返回HttpSecurity對象，避免了多余的and()操作符。每一步具體的含義，請參考代碼上的注釋。
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
// 禁用basic明文驗(yàn)證
.httpBasic().disable()
// 前后端分離架構(gòu)不需要csrf保護(hù)
.csrf().disable()
// 禁用默認(rèn)登錄頁
.formLogin().disable()
// 禁用默認(rèn)登出頁
.logout().disable()
// 設(shè)置異常的EntryPoint，如果不設(shè)置，默認(rèn)使用Http403ForbiddenEntryPoint
.exceptionHandling(exceptions -> exceptions.authenticationEntryPoint(invalidAuthenticationEntryPoint))
// 前后端分離是無狀態(tài)的，不需要session了，直接禁用。
.sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
.authorizeHttpRequests(authorizeHttpRequests -> authorizeHttpRequests
// 允許所有OPTIONS請求
.requestMatchers(HttpMethod.OPTIONS, "/**").permitAll()
// 允許直接訪問授權(quán)登錄接口
.requestMatchers(HttpMethod.POST, "/web/authenticate").permitAll()
// 允許 SpringMVC 的默認(rèn)錯誤地址匿名訪問
.requestMatchers("/error").permitAll()
// 其他所有接口必須有Authority信息，Authority在登錄成功后的UserDetailsImpl對象中默認(rèn)設(shè)置“ROLE_USER”
//.requestMatchers("/**").hasAnyAuthority("ROLE_USER")
// 允許任意請求被已登錄用戶訪問，不檢查Authority
.anyRequest().authenticated())
.authenticationProvider(authenticationProvider())
// 加我們自定義的過濾器，替代UsernamePasswordAuthenticationFilter
.addFilterBefore(authenticationJwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);
return http.build();
}3.1.2. 注冊自定義用戶登錄信息查詢Bean
@Autowired
private UserDetailsService userDetailsService;
@Bean
public UserDetailsService userDetailsService() {
// 調(diào)用 JwtUserDetailService實(shí)例執(zhí)行實(shí)際校驗(yàn)
return username -> userDetailsService.loadUserByUsername(username);
}這里關(guān)聯(lián)到一個自定義的子類UserDetailsService，代碼邏輯如下，注意需要根據(jù)實(shí)際情況改造數(shù)據(jù)庫查詢邏輯：
@Component
public class SecurityUserDetailsService implements UserDetailsService {
@Autowired
private SqlSession sqlSession;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
try {
// 查詢數(shù)據(jù)庫用戶表，獲得用戶信息
sqlSession.xxx
// 使用獲得的信息創(chuàng)建SecurityUserDetails
SecurityUserDetails user = new SecurityUserDetails(username,
password,
// 以及其他org.springframework.security.core.userdetails.UserDetails接口要求的信息
);
logger.info("用戶信息：{}", user);
return user;
} catch (Exception e) {
String msg = "Username: " + username + " not found";
logger.error(msg, e);
throw new UsernameNotFoundException(msg);
}
}
}3.1.3. 注冊密碼加密Bean
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}3.1.4. 注冊用戶授權(quán)檢查執(zhí)行Bean
這里設(shè)定使用DaoAuthenticationProvider執(zhí)行具體的校驗(yàn)檢查，并且將自定義的用戶登錄查詢服務(wù)Bean，和密碼生成器都注入到該對象中
/**
* 調(diào)用loadUserByUsername獲得UserDetail信息，在AbstractUserDetailsAuthenticationProvider里執(zhí)行用戶狀態(tài)檢查
*
* @return
*/
@Bean
public AuthenticationProvider authenticationProvider() {
DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
// DaoAuthenticationProvider 從自定義的 userDetailsService.loadUserByUsername 方法獲取UserDetails
authProvider.setUserDetailsService(userDetailsService());
// 設(shè)置密碼編輯器
authProvider.setPasswordEncoder(passwordEncoder());
return authProvider;
}3.1.5. 注冊授權(quán)檢查管理Bean
/**
* 登錄時需要調(diào)用AuthenticationManager.authenticate執(zhí)行一次校驗(yàn)
*
* @param config
* @return
* @throws Exception
*/
@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration config) throws Exception {
return config.getAuthenticationManager();
}3.1.6. 注冊每次請求的jwt檢查攔截器
在攔截器中檢查jwt是否能夠通過簽名驗(yàn)證，是否還在有效期內(nèi)。如果通過驗(yàn)證，使用jwt中的信息生成一個不含密碼信息的SecurityUserDetails對象，并設(shè)置到SecurityContext中，確保后續(xù)的過濾器檢查能夠知曉本次請求是被授權(quán)過的。具體代碼邏輯看3.2. jwt請求過濾器。
@Bean
public JwtTokenOncePerRequestFilter authenticationJwtTokenFilter() {
return new JwtTokenOncePerRequestFilter();
}3.1.7. SecurityConfig 對象完整內(nèi)容
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Autowired
private UserDetailsService userDetailsService;
@Autowired
private InvalidAuthenticationEntryPoint invalidAuthenticationEntryPoint;
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
@Bean
public JwtTokenOncePerRequestFilter authenticationJwtTokenFilter() {
return new JwtTokenOncePerRequestFilter();
}
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
// 禁用basic明文驗(yàn)證
.httpBasic().disable()
// 前后端分離架構(gòu)不需要csrf保護(hù)
.csrf().disable()
// 禁用默認(rèn)登錄頁
.formLogin().disable()
// 禁用默認(rèn)登出頁
.logout().disable()
// 設(shè)置異常的EntryPoint，如果不設(shè)置，默認(rèn)使用Http403ForbiddenEntryPoint
.exceptionHandling(exceptions -> exceptions.authenticationEntryPoint(invalidAuthenticationEntryPoint))
// 前后端分離是無狀態(tài)的，不需要session了，直接禁用。
.sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
.authorizeHttpRequests(authorizeHttpRequests -> authorizeHttpRequests
// 允許所有OPTIONS請求
.requestMatchers(HttpMethod.OPTIONS, "/**").permitAll()
// 允許直接訪問授權(quán)登錄接口
.requestMatchers(HttpMethod.POST, "/web/authenticate").permitAll()
// 允許 SpringMVC 的默認(rèn)錯誤地址匿名訪問
.requestMatchers("/error").permitAll()
// 其他所有接口必須有Authority信息，Authority在登錄成功后的UserDetailsImpl對象中默認(rèn)設(shè)置“ROLE_USER”
//.requestMatchers("/**").hasAnyAuthority("ROLE_USER")
// 允許任意請求被已登錄用戶訪問，不檢查Authority
.anyRequest().authenticated())
.authenticationProvider(authenticationProvider())
// 加我們自定義的過濾器，替代UsernamePasswordAuthenticationFilter
.addFilterBefore(authenticationJwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);
return http.build();
}
@Bean
public UserDetailsService userDetailsService() {
// 調(diào)用 JwtUserDetailService實(shí)例執(zhí)行實(shí)際校驗(yàn)
return username -> userDetailsService.loadUserByUsername(username);
}
/**
* 調(diào)用loadUserByUsername獲得UserDetail信息，在AbstractUserDetailsAuthenticationProvider里執(zhí)行用戶狀態(tài)檢查
*
* @return
*/
@Bean
public AuthenticationProvider authenticationProvider() {
DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
// DaoAuthenticationProvider 從自定義的 userDetailsService.loadUserByUsername 方法獲取UserDetails
authProvider.setUserDetailsService(userDetailsService());
// 設(shè)置密碼編輯器
authProvider.setPasswordEncoder(passwordEncoder());
return authProvider;
}
/**
* 登錄時需要調(diào)用AuthenticationManager.authenticate執(zhí)行一次校驗(yàn)
*
* @param config
* @return
* @throws Exception
*/
@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration config) throws Exception {
return config.getAuthenticationManager();
}
}3.2. JWT請求過濾檢查
/**
* 每次請求的 Security 過濾類。執(zhí)行jwt有效性檢查，如果失敗，不會設(shè)置 SecurityContextHolder 信息，會進(jìn)入 AuthenticationEntryPoint
*/
public class JwtTokenOncePerRequestFilter extends OncePerRequestFilter {
@Autowired
private JwtTokenProvider jwtTokenProvider;
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
throws ServletException, IOException {
try {
String token = jwtTokenProvider.resolveToken(request);
if (token != null && jwtTokenProvider.validateToken(token)) {
Authentication auth = jwtTokenProvider.getAuthentication(token);
if (auth != null) {
SecurityContextHolder.getContext().setAuthentication(auth);
}
}
} catch (Exception e) {
logger.error("Cannot set user authentication!", e);
}
filterChain.doFilter(request, response);
}
}3.3. 登錄校驗(yàn)
考慮到j(luò)wt簽名驗(yàn)簽的可靠性，以及jwt的有效載荷并未被加密，所以jwt中放置了UserDetails接口除密碼字段外其他所有字段以及項(xiàng)目所需的業(yè)務(wù)字段。兩個目的，1. 瀏覽器端可以解碼jwt的有效載荷部分的內(nèi)容用于業(yè)務(wù)處理，由于不涉及到敏感信息，不擔(dān)心泄密；2.服務(wù)端可以通過jwt的信息重新生成UserDetails對象，并設(shè)置到SecurityContext中，用于請求攔截的授權(quán)校驗(yàn)。
代碼如下：
@RestController
@RequestMapping("/web")
public class AuthController {
@PostMapping(value="/authenticate")
public ResponseEntity<?> authenticate(@RequestBody Map<String, String> param) {
logger.debug("登錄請求參數(shù)：{}", param);
try {
String username = param.get("username");
String password = param.get("password");
String reqType = param.get("type");
// 傳遞用戶密碼給到SpringSecurity執(zhí)行校驗(yàn)，如果校驗(yàn)失敗，會進(jìn)入BadCredentialsException
Authentication authentication = authenticationManager.authenticate(new UsernamePasswordAuthenticationToken(username, password));
// 驗(yàn)證通過，設(shè)置授權(quán)信息至SecurityContextHolder
SecurityContextHolder.getContext().setAuthentication(authentication);
// 如果驗(yàn)證通過了，從返回的authentication里獲得完整的UserDetails信息
SecurityUserDetails userDetails = (SecurityUserDetails) authentication.getPrincipal();
// 將用戶的ID、名稱等信息保存在jwt的token中
String token = jwtTokenProvider.createToken(userDetails.getUsername(), userDetails.getCustname(), new ArrayList<>());
// 設(shè)置cookie，本項(xiàng)目中非必需，因以要求必須傳head的Authorization: Bearer 參數(shù)
ResponseCookie jwtCookie = jwtTokenProvider.generateJwtCookie(token);
Map<String, Object> model = new HashMap<>();
model.put("username", username);
model.put("token", token);
return ok().body(RespBody.build().ok("登錄成功", model));
} catch (BadCredentialsException e) {
return ok(RespBody.build().fail("賬號或密碼錯誤！"));
}
}
}4. 總結(jié)
經(jīng)過以上步驟，對SpringSecurity6結(jié)合jwt機(jī)制進(jìn)行校驗(yàn)的過程就全部完成了，jwt的工具類可以按照項(xiàng)目自己的情況進(jìn)行編碼。這里（GitHub - markvivv/springboot-security-jwt-example: Spring Boot + Spring Security + JSON Web Token(JWT) + Mybatis完整示例，包含SpringBoot2和Spring Boot3兩種方式。）有完整的SpringBoot3+SpringSecurity6+jwt的示例工程。目前有一個SpringBoot2的老版本在這里。jwt的工具類也可以參考老版本的這個。
到此這篇關(guān)于Spring Security6配置方法(廢棄WebSecurityConfigurerAdapter)的文章就介紹到這了,更多相關(guān)Spring Security6配置內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
spring學(xué)習(xí)之util:properties的使用
這篇文章主要介紹了spring學(xué)習(xí)之util:properties的使用方式,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-01-01
這篇文章主要介紹了SpringBoot Druid配置過程圖解,文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2020-03-03
關(guān)于SpringBoot接收json格式的Demo案例
這篇文章主要介紹了關(guān)于SpringBoot接收json格式的Demo案例,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-05-05
Java語言Consistent Hash算法學(xué)習(xí)筆記（代碼示例）
這篇文章主要介紹了Java語言Consistent Hash算法學(xué)習(xí)筆記（代碼示例），分享了相關(guān)代碼示例，小編覺得還是挺不錯的，具有一定借鑒價值，需要的朋友可以參考下2018-02-02
封裝是OOP核心原則,將數(shù)據(jù)和方法整合為類,通過訪問修飾符（如private）隱藏內(nèi)部狀態(tài),僅提供受控的getter/setter訪問,確保數(shù)據(jù)安全、完整性,提升代碼可維護(hù)性,但可能增加代碼量與復(fù)雜度2025-09-09
Spring Boot 自動參數(shù)校驗(yàn)的實(shí)現(xiàn)步驟
在 Spring Boot中實(shí)現(xiàn)參數(shù)自動校驗(yàn)主要依靠 Java Bean Validation API（JSR 380）和 Spring 的集成支持,下面給大家介紹Spring Boot 自動參數(shù)校驗(yàn)的實(shí)現(xiàn)步驟,感興趣的朋友一起看看吧2025-06-06
SpringMVC自定義攔截器實(shí)現(xiàn)過程詳解
這篇文章主要介紹了SpringMVC自定義攔截器實(shí)現(xiàn)過程詳解,文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2020-05-05
關(guān)于Java8中map()和flatMap()的一些事
這篇文章主要給大家介紹了關(guān)于Java8中map()和flatMap()的一些事，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-10-10
這篇文章主要介紹了python中jieba庫(中文分詞庫)使用安裝教程,jieba庫是通過中文詞庫的方式來識別分詞的。它首先利用一個中文詞庫，通過詞庫計(jì)算漢字之間構(gòu)成詞語的關(guān)聯(lián)概率，所以通過計(jì)算漢字之間的概率，就可以形成分詞的結(jié)果,需要的朋友可以參考下2023-04-04
SpringBoot動態(tài)配置數(shù)據(jù)源的三種實(shí)現(xiàn)方式
本文介紹了Spring Boot動態(tài)數(shù)據(jù)源的三種實(shí)現(xiàn)方式：通過配置文件設(shè)置數(shù)據(jù)源,自定義DynamicDataSource繼承AbstractRoutingDataSource實(shí)現(xiàn)動態(tài)切換,利用ThreadLocal管理數(shù)據(jù)源標(biāo)識,并結(jié)合AOP控制切換邏輯,同時需整合MyBatis-Plus配置,需要的朋友可以參考下2025-08-08