在以前做东西的时候，对于认证鉴权的框架技术选型，通常使用Apache Shiro，可能是接触比较早，感觉用起来比较方便的原因,知道最近接了一个好大好大的项目分布式应用+大数据数据库+私有IaaS云+PaaS，埋头苦学一星期，算是吃透了Spring Security的一半，那么一是为了记录在学习过程中的知识点，二是为了让没有接触过安全框架，或者还在使用数据库，自己写Filter比较原始方式做权限控制的朋友提供一个学习的参考。那么废话不说太多，下面开始一步一步来。

一、初识Spring Security

首先看名字就可以看出来，这个框架出自于Pivotal 的Spring系列。Spring Security 提供了基于javaEE的企业应用，全面的安全服务。大家使用Spring Secruity的原因有很多，但是大部分都是发现了由于javaEE的Servlet规范或EJB规范中的安全功能缺乏典型企业应用场景所需的深度。那么Security提供的 “认证”和“授权”（或者访问控制）是整个框架也是本系列博客所要讲解的重要内容。

二、引入Security依赖

Security官方链接：https://projects.spring.io/spring-security/

打开你的IED，在Maven坐标如下：想使用其他版本请去如上链接，如果你之前接触过Spring IO那么无需指定Version.

<dependencies>
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-web</artifactId>
        <version>5.0.5.RELEASE</version>
    </dependency>
</dependencies>

Gradle如下：

dependencies {
    compile 'org.springframework.security:spring-security-web:5.0.5.RELEASE'
}

三、Security的基本认证功能的使用

首先明确一个事情，Spring Security所有提供给开发者的认证和鉴权功能都是基于过滤器链的，而我看到的大部分讲解Security的博客和资料中，却很少提及每个功能作用的过滤器是谁？过滤器的执行流程是怎么样的！我之前在学习Docker和K8S的时候买的一本书讲解的非常透彻，作者不仅仅在讲怎么用！而是从：是什么？怎么用？为什么？这三方面来说，因此我会在文中通过Debug或流程图，为大家深入的讲解这款框架的东西。

3.1、HttpBasic认证

那么当你引入了Security的依赖后，无需做其他任何的事情，启动项目，访问的时候你就会发现你的应用已经有了一个基本的认证功能,其实前面说的话不是完全正确的，由于笔者之前使用的Spring Boot版本为1.5，依赖的Security 4.X版本，所以无需任何配置，启动项目访问则会弹出默认的httpbasic认证，那么本次Demo是基于security5.X ，Spring Boot2.X版本去做的，经过我翻阅官方文档和Spring Boot2.X的properties，在这个5.X的版本中已经将默认的认证方式更改为表单认证，并且security.basic.enabled属性同样是过期了的。

下面的图是官方给出的属性配置，已经无security.basic.enabled

在这里笔者十分负责任的说，如果想开启httpbasic认证，需要在配置类中进行配置才可以，亲测通过properties配置不生效，开启httpbasic认证的代码如下：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter
;
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter{
	
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		
		http
		   .httpBasic()//开启httpbasic认证
		.and()
		   .authorizeRequests()//Security表达式
	             .anyRequest().authenticated();//所有请求都需要认证
	}

}

启动项目，在启动的时候会发现控制台有如下输出，这个字符串就是Security默认生成的认证密码。

访问应用，弹出httpbasic，通过生成的默认密码进行认证，不过这种方式基本不太会使用，不着重介绍。

3.2、表单认证

表单认证是大部分业务场景中都需要使用的一种认证方式，那么如何配置，又有哪些可配置的呢？看如下代码：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurer
Adapter;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter{
	
	
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		
		http
		.formLogin()
			.loginPage("/loginPage.html")//用户未认证时，转跳到认证的页面
			.loginProcessingUrl("/toLogin")//form中action的地址，也就是处理认证请求的URL	
			.usernameParameter("UM")//form中用户名密码的name名
			.passwordParameter("PW")
			.defaultSuccessUrl("/index")//认证成功后默认转跳的URL
		.and()
		.authorizeRequests()
			.antMatchers("/loginPage.html","/toLogin").permitAll()//最后不要忘记将自定义的
                                                                           //如上不需要认证的URL加进来
			.anyRequest().authenticated();
	}

}

我们访问任意需要认证的URL，发现会自动转跳到配置的认证页面。

我们暂时先使用内存用户，在properties中配置一个admin用户，模拟登录。

登陆后，自动转跳到index的controller中，对了！如果你使用了自己的登录页面，记得将CSRF防护功能关掉哦，否则你讲无法进行认证。

四、基于Spring的配置

那么通过以上代码的讲解，你应该对于认证功能的基本使用有了一定的了解，但是上面的代码中有一个开发界非常难以容忍的问题，就是含有大量的硬编码！！！那么我们如何解决的？

首先我们创建三个类，分别叫：SecurityProperties、ToLoginProperties、LoginProperties，代码分别如下：

public class LoginProperties {
	
	private String loginPage = "/loginPage.html";
	
	private String loginProcessingUrl = "/toLogin";
	
	private String usernameParameter = "UM";
	
	private String passwordParameter = "PW";
	
	private String defaultSuccessUrl = "/index";

	public String getLoginPage() {
		return loginPage;
	}

	public void setLoginPage(String loginPage) {
		this.loginPage = loginPage;
	}

	public String getLoginProcessingUrl() {
		return loginProcessingUrl;
	}

	public void setLoginProcessingUrl(String loginProcessingUrl) {
		this.loginProcessingUrl = loginProcessingUrl;
	}

	public String getUsernameParameter() {
		return usernameParameter;
	}

	public void setUsernameParameter(String usernameParameter) {
		this.usernameParameter = usernameParameter;
	}

	public String getPasswordParameter() {
		return passwordParameter;
	}

	public void setPasswordParameter(String passwordParameter) {
		this.passwordParameter = passwordParameter;
	}

	public String getDefaultSuccessUrl() {
		return defaultSuccessUrl;
	}

	public void setDefaultSuccessUrl(String defaultSuccessUrl) {
		this.defaultSuccessUrl = defaultSuccessUrl;
	}
	
	
}

public class ToLoginProperties {
	
	private LoginProperties loginProperties = new LoginProperties();

	public LoginProperties getLoginProperties() {
		return loginProperties;
	}

	public void setLoginProperties(LoginProperties loginProperties) {
		this.loginProperties = loginProperties;
	}

}

import org.springframework.boot.context.properties.ConfigurationProperties;
import org.springframework.stereotype.Component;

@Component
@ConfigurationProperties(prefix = "jy.security")
public class SecurityProperties {

	private ToLoginProperties toLoginProperties = new ToLoginProperties();

	public ToLoginProperties getToLoginProperties() {
		return toLoginProperties;
	}

	public void setToLoginProperties(ToLoginProperties toLoginProperties) {
		this.toLoginProperties = toLoginProperties;
	}
	
}

通过以上代码，我们就可以读取到配置文件中，以“jy.security”开头的属性，并将属性对应的值注入到其中，这样当我们配置了对应属性的时候，值即被替换，未配置的时候则走我们的默认值。

然后我们把securityconfig类在修改一下，不在使用硬编码，而是将SecurityProperties类注入。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

import com.spring.demo.peoperties.SecurityProperties;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter{
	
	@Autowired
	private SecurityProperties securityProperties;
	
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		
		http
			.formLogin()
				.loginPage(securityProperties.getToLoginProperties().getLoginProperties().getLoginPage())//用户未认证时，转跳到认证的页面
				.loginProcessingUrl(securityProperties.getToLoginProperties().getLoginProperties().getLoginProcessingUrl())//form中action的地址，也就是处理认证请求的URL	
				.usernameParameter(securityProperties.getToLoginProperties().getLoginProperties().getUsernameParameter())//form中用户名密码的name名
				.passwordParameter(securityProperties.getToLoginProperties().getLoginProperties().getPasswordParameter())
				.defaultSuccessUrl(securityProperties.getToLoginProperties().getLoginProperties().getDefaultSuccessUrl())//认证成功后默认转跳的URL
		.and()
		.authorizeRequests()
			.antMatchers(securityProperties.getToLoginProperties().getLoginProperties().getLoginPage(),
					     securityProperties.getToLoginProperties().getLoginProperties().getLoginProcessingUrl()).permitAll()
			.anyRequest().authenticated()
		.and()
			.csrf().disable()
			;
	}
	
	

}

最后我们做一个测试，证明通过配置文件的方式，可以对我们的配置类修改，我们修改未认证时转跳的认证页面的URL为“/loginTest”

重启项目，访问/index，结果如下：404是由于我根本没写这个页面，但已经可以证明我们的配置生效，避免了硬编码的问题

在下一篇博客里，我会介绍自定义身份认证和一些处理器的用法及源码，敬请关注！

Spring Security修炼手册（一）————初识Security