java - 如何使用 Spring 安全性和 Restful Web 服务验证数据库中的凭据？

Question

我对 Spring 安全性还很陌生。我想创建一个带有基本身份验证和 RestFul Web 服务的 Spring 安全应用程序。我也在使用 Spring Data JPA。

我已经通过互联网浏览了一些示例。他们中的大多数在 spring 应用程序本身中都有一个登录 UI 表单。此外，它不会验证数据库中的凭据。

但我的情况是:我有一个单独的 UI 应用程序，我将从我的客户端应用程序发送一个登录 url (Restful api) 调用。我想使用来 self 的 Spring 应用程序的请求，并且应该从数据库验证凭据。

Answer 1

方法一

配置 Spring Security 以根据数据库上的凭据进行身份验证的简单方法，您可以使用 jdbcAuthentication() 方法。所需的最低配置如下:

@Autowired
DataSource dataSource;
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    
      auth
       .jdbcAuthentication()
       .dataSource(dataSource);

}

您唯一必须配置的是 DataSource，以便它能够访问您的数据库。

这个最小配置将与您的一些假设一起工作数据库架构。它期望某些表存在，其中将保留用户数据。

更具体地说，以下来自 Spring Security 内部的代码片段显示了

查找用户详细信息时将执行的 SQL 查询:

JdbcDaoImpl

public static final String DEF_USERS_BY_USERNAME_QUERY = "select username,password,enabled "
            + "from users " + "where username = ?";


public static final String DEF_AUTHORITIES_BY_USERNAME_QUERY = "select username,authority "
            + "from authorities " + "where username = ?";


public static final String DEF_GROUP_AUTHORITIES_BY_USERNAME_QUERY = "select g.id, g.group_name, ga.authority "
            + "from groups g, group_members gm, group_authorities ga "
            + "where gm.username = ? " + "and g.id = ga.group_id "
            + "and g.id = gm.group_id";

第一个查询检索用户的用户名、密码，以及他们是否启用。此信息用于对用户进行身份验证。下一个查询查找出于授权目的而授予用户的权限，最终查询查找授予用户作为组成员的权限。

如果你不想坚持使用 Spring Security 强制执行的默认数据库结构，你可以这样做

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.jdbcAuthentication()
        .dataSource(dataSource)
        .usersByUsernameQuery("select username, password, true from <tbl_name> where username=?")
        .authoritiesByUsernameQuery("select username, 'ROLE_ADMIN' from <tbl_name> where username=?");
}

在这种情况下，您只是覆盖了身份验证和基本授权查询。但是您也可以通过调用 groupAuthoritiesByUsername() 来覆盖组权限查询使用自定义查询。

覆盖默认架构时，您需要遵循查询的基本约定。这里要注意的一个是这些查询只接受用户名作为参数。权限查询选择零个或多个包含用户名和授予权限的行。组权限查询选择零个或多个行，每行都有组 ID、组名称和权限。

方法二实现UserDetailsS​​ervice

您需要实现 UserDetailsService界面。

您需要做的就是实现 loadUserByUsername() 方法，根据用户的用户名查找用户。 loadUserByUsername() 然后返回 UserDetails表示给定用户的对象。

基本实现

public class SomeUserService implements UserDetailsService {

    private final SomeRepository someRepository;

    public SomeUserService(SomeRepository someRepository) {
        this.someRepository = someRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username)
        throws UsernameNotFoundException {
        UserClass userObject = someRepository.findByUsername(username);
        
        if (userObject != null) {
            List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();
            authorities.add(new SimpleGrantedAuthority("ROLE_ADMIN"));
            
            return new User(
                userObject.getUsername(),
                userObject.getPassword(),
                authorities
            );
        }
        
        throw new UsernameNotFoundException(
            "User '" + username + "' not found.");
    }
}

然后

@Autowired
    SomeRepository someRepository;

    @Override
    protected void configure(AuthenticationManagerBuilder auth)
        throws Exception {
        auth
            .userDetailsService(new SomeUserService(someRepository));
    }