// 1. 基礎(chǔ)配置類
@Configuration
@EnableWebSecurity
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 禁用CSRF（REST API通常不需要）
            .csrf().disable()
            // 授權(quán)配置
            .authorizeRequests()
                .antMatchers("/api/public/**").permitAll()  // 公開接口
                .antMatchers("/api/admin/**").hasRole("ADMIN")  // 需要管理員角色
                .antMatchers("/api/user/**").hasAnyRole("USER", "ADMIN")  // 需要用戶角色
                .anyRequest().authenticated()  // 其他所有請求需要認(rèn)證
            // 表單登錄配置（前后端分離時(shí)通常用不上）
            .and()
            .formLogin().disable()
            // 基礎(chǔ)認(rèn)證配置
            .httpBasic()
            // 異常處理
            .and()
            .exceptionHandling()
                .authenticationEntryPoint(restAuthenticationEntryPoint())  // 未認(rèn)證處理
                .accessDeniedHandler(restAccessDeniedHandler());  // 權(quán)限不足處理
    }
    // 2. 用戶詳情服務(wù)（從數(shù)據(jù)庫加載用戶）
    @Bean
    public UserDetailsService userDetailsService() {
        return username -> {
            // 這里實(shí)際應(yīng)該查詢數(shù)據(jù)庫
            if ("admin".equals(username)) {
                return User.withUsername("admin")
                    .password(passwordEncoder().encode("admin123"))
                    .roles("ADMIN")
                    .build();
            } else if ("user".equals(username)) {
                return User.withUsername("user")
                    .password(passwordEncoder().encode("user123"))
                    .roles("USER")
                    .build();
            }
            throw new UsernameNotFoundException("用戶不存在: " + username);
        };
    }
    // 3. 密碼編碼器
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
    // 4. REST API認(rèn)證入口點(diǎn)
    @Bean
    public AuthenticationEntryPoint restAuthenticationEntryPoint() {
        return (request, response, authException) -> {
            response.setContentType(MediaType.APPLICATION_JSON_VALUE);
            response.setStatus(HttpStatus.UNAUTHORIZED.value());
            response.getWriter().write(
                "{\"code\": 401, \"message\": \"未認(rèn)證，請先登錄\"}"
            );
        };
    }
}
// 5. 在Controller中使用安全注解
@RestController
@RequestMapping("/api")
public class ProductController {
    @GetMapping("/public/products")
    public List<Product> getPublicProducts() {
        // 公開接口，無需認(rèn)證
        return productService.getAllProducts();
    }
    @GetMapping("/user/products")
    @PreAuthorize("hasRole('USER')")  // 需要USER角色
    public List<Product> getUserProducts() {
        // 獲取當(dāng)前認(rèn)證用戶
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        String username = auth.getName();
        return productService.getProductsByOwner(username);
    }
    @PostMapping("/admin/products")
    @PreAuthorize("hasRole('ADMIN')")  // 需要ADMIN角色
    public Product createProduct(@RequestBody ProductDTO dto) {
        return productService.createProduct(dto);
    }
    @DeleteMapping("/admin/products/{id}")
    @PreAuthorize("hasPermission(#id, 'product', 'delete')")  // 方法級權(quán)限控制
    public void deleteProduct(@PathVariable Long id) {
        productService.deleteProduct(id);
    }
}

// 1. Shiro配置類
@Configuration
public class ShiroConfig {
    // 創(chuàng)建ShiroFilterFactoryBean
    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(
            SecurityManager securityManager) {
        ShiroFilterFactoryBean factoryBean = new ShiroFilterFactoryBean();
        factoryBean.setSecurityManager(securityManager);
        // 設(shè)置登錄頁面
        factoryBean.setLoginUrl("/login");
        // 設(shè)置未授權(quán)頁面
        factoryBean.setUnauthorizedUrl("/unauthorized");
        // 配置攔截規(guī)則
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
        // 靜態(tài)資源放行
        filterChainDefinitionMap.put("/static/**", "anon");
        filterChainDefinitionMap.put("/css/**", "anon");
        filterChainDefinitionMap.put("/js/**", "anon");
        // 公開接口
        filterChainDefinitionMap.put("/api/public/**", "anon");
        filterChainDefinitionMap.put("/login", "anon");
        // 需要認(rèn)證的接口
        filterChainDefinitionMap.put("/api/user/**", "authc");
        filterChainDefinitionMap.put("/api/admin/**", "authc, roles[admin]");
        // 需要特定權(quán)限的接口
        filterChainDefinitionMap.put("/api/products/create", "authc, perms[product:create]");
        filterChainDefinitionMap.put("/api/products/delete/*", "authc, perms[product:delete]");
        // 其他所有請求需要認(rèn)證
        filterChainDefinitionMap.put("/**", "authc");
        factoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return factoryBean;
    }
    // 創(chuàng)建SecurityManager
    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        // 設(shè)置Realm
        securityManager.setRealm(customRealm());
        // 設(shè)置Session管理器
        securityManager.setSessionManager(sessionManager());
        // 設(shè)置緩存管理器
        securityManager.setCacheManager(cacheManager());
        return securityManager;
    }
    // 自定義Realm（連接安全數(shù)據(jù)源）
    @Bean
    public Realm customRealm() {
        CustomRealm realm = new CustomRealm();
        // 設(shè)置密碼匹配器
        HashedCredentialsMatcher credentialsMatcher = new HashedCredentialsMatcher();
        credentialsMatcher.setHashAlgorithmName("SHA-256");
        credentialsMatcher.setHashIterations(1024);
        credentialsMatcher.setStoredCredentialsHexEncoded(false);
        realm.setCredentialsMatcher(credentialsMatcher);
        // 開啟緩存
        realm.setCachingEnabled(true);
        realm.setAuthenticationCachingEnabled(true);
        realm.setAuthenticationCacheName("authenticationCache");
        realm.setAuthorizationCachingEnabled(true);
        realm.setAuthorizationCacheName("authorizationCache");
        return realm;
    }
}
// 2. 自定義Realm實(shí)現(xiàn)
public class CustomRealm extends AuthorizingRealm {
    @Autowired
    private UserService userService;
    // 認(rèn)證邏輯：驗(yàn)證用戶身份
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(
            AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        String username = upToken.getUsername();
        // 從數(shù)據(jù)庫查詢用戶
        User user = userService.findByUsername(username);
        if (user == null) {
            throw new UnknownAccountException("用戶不存在");
        }
        if (!user.isEnabled()) {
            throw new DisabledAccountException("用戶已被禁用");
        }
        // 返回認(rèn)證信息
        return new SimpleAuthenticationInfo(
            user, // 身份 principal
            user.getPassword(), // 憑證 credentials
            getName() // realm name
        );
    }
    // 授權(quán)邏輯：獲取用戶的角色和權(quán)限
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(
            PrincipalCollection principals) {
        User user = (User) principals.getPrimaryPrincipal();
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        // 添加角色
        Set<String> roles = userService.findRolesByUserId(user.getId());
        authorizationInfo.setRoles(roles);
        // 添加權(quán)限
        Set<String> permissions = userService.findPermissionsByUserId(user.getId());
        authorizationInfo.setStringPermissions(permissions);
        return authorizationInfo;
    }
}
// 3. 在Controller中使用Shiro
@RestController
@RequestMapping("/api")
public class ProductController {
    @GetMapping("/products")
    public List<Product> getProducts() {
        // 獲取當(dāng)前用戶
        Subject currentUser = SecurityUtils.getSubject();
        // 檢查是否已認(rèn)證
        if (!currentUser.isAuthenticated()) {
            throw new UnauthorizedException("請先登錄");
        }
        // 檢查是否有權(quán)限
        if (!currentUser.isPermitted("product:view")) {
            throw new ForbiddenException("沒有查看權(quán)限");
        }
        // 執(zhí)行業(yè)務(wù)邏輯
        return productService.getAllProducts();
    }
    @PostMapping("/products")
    public Product createProduct(@RequestBody ProductDTO dto) {
        Subject currentUser = SecurityUtils.getSubject();
        // 使用Shiro的權(quán)限注解（需要AOP支持）
        currentUser.checkPermission("product:create");
        // 或者使用編程式檢查
        // if (!currentUser.isPermitted("product:create")) {
        //     throw new ForbiddenException("沒有創(chuàng)建權(quán)限");
        // }
        return productService.createProduct(dto);
    }
    @GetMapping("/admin/dashboard")
    public DashboardVO getAdminDashboard() {
        Subject currentUser = SecurityUtils.getSubject();
        // 檢查是否具有admin角色
        currentUser.checkRole("admin");
        return dashboardService.getAdminDashboard();
    }
}

// 1. 添加依賴（pom.xml）
// <dependency>
//     <groupId>cn.dev33</groupId>
//     <artifactId>sa-token-spring-boot-starter</artifactId>
//     <version>1.34.0</version>
// </dependency>
// 2. 配置文件（application.yml）
// sa-token:
//   token-name: satoken           # token名稱
//   timeout: 2592000             # token有效期，單位秒，默認(rèn)30天
//   active-timeout: -1           # token活躍有效期，-1代表不限制
//   is-concurrent: true          # 是否允許并發(fā)登錄
//   is-share: true               # 在多人登錄同一賬號時(shí)，是否共享token
//   max-login-count: 12          # 同一賬號最大登錄數(shù)量
//   is-write-header: true        # 是否將token寫入響應(yīng)頭
//   token-style: uuid            # token風(fēng)格
//   is-log: false                # 是否打印操作日志
// 3. 配置類（可選）
@Configuration
public class SaTokenConfig {
    // 注冊攔截器
    @Bean
    public SaInterceptor saInterceptor() {
        return new SaInterceptor()
            // 校驗(yàn)登錄狀態(tài)，不包含登錄接口
            .addPathPatterns("/**")
            .excludePathPatterns("/api/user/login")
            .excludePathPatterns("/api/public/**")
            // 權(quán)限校驗(yàn)規(guī)則
            .check(r -> {
                // 1. 檢查登錄狀態(tài)
                SaRouter.match("/api/**", () -> {
                    StpUtil.checkLogin();
                });
                // 2. 角色校驗(yàn)
                SaRouter.match("/api/admin/**", () -> {
                    StpUtil.checkRole("admin");
                });
                // 3. 權(quán)限校驗(yàn)
                SaRouter.match("/api/products/create", () -> {
                    StpUtil.checkPermission("product.create");
                });
                SaRouter.match("/api/products/delete/**", () -> {
                    StpUtil.checkPermission("product.delete");
                });
            });
    }
}
// 4. 登錄認(rèn)證Controller
@RestController
@RequestMapping("/api/user")
public class UserController {
    @PostMapping("/login")
    public ApiResult login(@RequestBody LoginDTO dto) {
        // 1. 驗(yàn)證用戶名密碼
        User user = userService.findByUsername(dto.getUsername());
        if (user == null || !passwordEncoder.matches(dto.getPassword(), user.getPassword())) {
            return ApiResult.error("用戶名或密碼錯誤");
        }
        // 2. 登錄（Sa-Token會自動創(chuàng)建token）
        StpUtil.login(user.getId());
        // 3. 獲取token信息
        String tokenValue = StpUtil.getTokenValue();
        long tokenTimeout = StpUtil.getTokenTimeout();
        // 4. 返回用戶信息和token
        LoginVO vo = new LoginVO();
        vo.setUserId(user.getId());
        vo.setUsername(user.getUsername());
        vo.setToken(tokenValue);
        vo.setExpireTime(tokenTimeout);
        // 5. 可以設(shè)置一些session信息
        StpUtil.getSession().set("userInfo", user);
        return ApiResult.success("登錄成功", vo);
    }
    @PostMapping("/logout")
    public ApiResult logout() {
        // 注銷當(dāng)前會話
        StpUtil.logout();
        return ApiResult.success("注銷成功");
    }
    @GetMapping("/info")
    public ApiResult getUserInfo() {
        // 獲取當(dāng)前登錄用戶ID
        Object loginId = StpUtil.getLoginId();
        // 獲取用戶信息
        User user = userService.findById(Long.parseLong(loginId.toString()));
        // 獲取用戶權(quán)限列表
        List<String> permissionList = StpUtil.getPermissionList();
        // 獲取用戶角色列表
        List<String> roleList = StpUtil.getRoleList();
        UserInfoVO vo = new UserInfoVO();
        vo.setUser(user);
        vo.setPermissions(permissionList);
        vo.setRoles(roleList);
        return ApiResult.success(vo);
    }
}
// 5. 業(yè)務(wù)Controller中使用
@RestController
@RequestMapping("/api/products")
public class ProductController {
    @GetMapping("/list")
    public ApiResult getProductList() {
        // 無需手動檢查登錄狀態(tài)，攔截器已處理
        // 獲取當(dāng)前登錄用戶ID
        long userId = StpUtil.getLoginIdAsLong();
        List<Product> products = productService.getProductsByOwner(userId);
        return ApiResult.success(products);
    }
    @PostMapping("/create")
    public ApiResult createProduct(@RequestBody ProductDTO dto) {
        // 使用注解方式檢查權(quán)限
        // @SaCheckPermission("product.create") 也可以這樣用
        // 編程式檢查權(quán)限
        StpUtil.checkPermission("product.create");
        long userId = StpUtil.getLoginIdAsLong();
        dto.setOwnerId(userId);
        Product product = productService.createProduct(dto);
        return ApiResult.success(product);
    }
    @DeleteMapping("/{id}")
    @SaCheckPermission("product.delete")  // 注解方式權(quán)限檢查
    public ApiResult deleteProduct(@PathVariable Long id) {
        // 除了權(quán)限檢查，還可以檢查數(shù)據(jù)權(quán)限
        Product product = productService.getById(id);
        long currentUserId = StpUtil.getLoginIdAsLong();
        if (product.getOwnerId() != currentUserId) {
            // 不是自己的商品，檢查是否有管理員權(quán)限
            StpUtil.checkRole("admin");
        }
        productService.deleteProduct(id);
        return ApiResult.success("刪除成功");
    }
    @GetMapping("/admin/dashboard")
    @SaCheckRole("admin")  // 注解方式角色檢查
    public ApiResult getAdminDashboard() {
        DashboardVO dashboard = dashboardService.getAdminDashboard();
        return ApiResult.success(dashboard);
    }
}
// 6. 進(jìn)階功能：踢人下線、賬號封禁
@Service
public class AdvancedSecurityService {
    // 強(qiáng)制注銷（踢人下線）
    public void forceLogout(Object loginId) {
        StpUtil.logout(loginId);
    }
    // 封禁賬號
    public void disableAccount(Object loginId, long disableTime) {
        // 封禁指定時(shí)間（單位：秒）
        StpUtil.disable(loginId, disableTime);
    }
    // 檢查是否被封禁
    public boolean isDisabled(Object loginId) {
        return StpUtil.isDisable(loginId);
    }
    // 二級認(rèn)證（敏感操作需要再次驗(yàn)證）
    public boolean startSecondAuth(long ttl) {
        // 開啟二級認(rèn)證，有效期為ttl秒
        return StpUtil.openSafe(ttl);
    }
    // 檢查二級認(rèn)證
    public void checkSecondAuth() {
        StpUtil.checkSafe();
    }
}

// 抽象安全接口示例
public interface SecurityService {
    // 認(rèn)證相關(guān)
    boolean login(String username, String password);
    void logout();
    boolean isAuthenticated();
    // 授權(quán)相關(guān)
    boolean hasPermission(String permission);
    boolean hasRole(String role);
    // 用戶信息
    Object getCurrentUser();
    Long getCurrentUserId();
}
// Spring Security實(shí)現(xiàn)
@Service
public class SpringSecurityServiceImpl implements SecurityService {
    // 實(shí)現(xiàn)基于Spring Security的接口
}
// 需要遷移時(shí)，只需實(shí)現(xiàn)新的實(shí)現(xiàn)類
@Service  
public class SaTokenServiceImpl implements SecurityService {
    // 實(shí)現(xiàn)基于Sa-Token的接口
    // 業(yè)務(wù)代碼無需修改，只需切換實(shí)現(xiàn)
}