正文
spring security使用数据库验证的逻辑处理
提示：扫一扫查出行【扫一扫了解最新限行尾号】
复制提示
前面做了多个示例，包括使用jdbc和hibernate两种方式访问数据库获取用户信息和权限信息，其中一些关键步骤如下：
我们在SecurityConfig中配置覆盖configure方法时候，可以指定authenticationProvider，也可以不需要指定，直接指定userDetailsService。例如：
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
authenticationProvider.setPasswordEncoder(passwordEncoder());
auth.authenticationProvider(authenticationProvider);
//auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
}
如果没有指定authenticationProvider，则security使用的是实现类DaoAuthenticationProvider。
如果指定自定义的authenticationProvider，为了方便，我们自定义的authenticationProvider也是继承自DaoAuthenticationProvider，只需要重写指定userDetailsService，authenticate方法，例如：
@Autowired
@Qualifier("userDetailsService")
@Override
public void setUserDetailsService(UserDetailsService userDetailsService) {
super.setUserDetailsService(userDetailsService);
}
@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
try {
//调用上层验证逻辑
Authentication auth = super.authenticate(authentication);
//如果验证通过登录成功则重置尝试次数， 否则抛出异常
userDetailsDao.resetFailAttempts(authentication.getName());
return auth;
} catch (BadCredentialsException e) {
//如果验证不通过，则更新尝试次数，当超过次数以后抛出账号锁定异常
userDetailsDao.updateFailAttempts(authentication.getName());
throw e;
} catch (LockedException e){
//该用户已经被锁定，则进入这个异常
String error;
UserAttempts userAttempts =
userDetailsDao.getUserAttempts(authentication.getName());
if(userAttempts != null){
Date lastAttempts = userAttempts.getLastModified();
error = "用户已经被锁定，用户名 : "
+ authentication.getName() + "最后尝试登陆时间 : " + lastAttempts;
}else{
error = e.getMessage();
}
throw new LockedException(error);
}
}
在此方法中，仍然调用的是上层验证方法super.authenticate();在这里可以根据不同的验证异常抛出不同的异常，从而显示不同的用户账号状态，例如用户被锁定、用户失效、账号或者密码过期等，这里例子是多次登录失败锁定了用户。
下面我们看看security是如何验证账号的：
验证逻辑实现是在类AbstractUserDetailsAuthenticationProvider，此类实现了接口AuthenticationProvider的接口方法
Authentication authenticate(Authentication authentication) throws AuthenticationException;
实现方法中首先获取security定义的接口UserDetails，先从缓存userCache中获取，如果不存在，则调用方法retrieveUser。
retrieveUser的方法实现是在类DaoAuthenticationProvider，这个方法中可以看到
UserDetails loadedUser;
try {
loadedUser = this.getUserDetailsService().loadUserByUsername(username);
}
catch (UsernameNotFoundException notFound) {
if (authentication.getCredentials() != null) {
String presentedPassword = authentication.getCredentials().toString();
passwordEncoder.isPasswordValid(userNotFoundEncodedPassword,
presentedPassword, null);
}
throw notFound;
}
.....
此处调用的是自定义的UserDetailsService中loadUserByUsername方法。于是可以看出自定义的UserDetailsService实现类关键是实现loadUserByUsername方法。
下面就两种方式的实现进行剖解：
1、使用jdbc方式时，我们自定义的UserDetailsService是继承了类JdbcDaoImpl，可以发现JdbcDaoImpl已经实现了接口UserDetailsService，实现了方法loadUserByUsername。
在实现方法中，关键是调用自己定义的两个方法loadUsersByUsername和createUserDetails。于是自定义的CustomUserDetailsService类只需要覆写这两个方法即可
@Override
protected List<UserDetails> loadUsersByUsername(String username) {
return getJdbcTemplate().query(super.getUsersByUsernameQuery(), new Object[]{username},
(rs, rowNum) -> {
String username1 = rs.getString("username");
String password = rs.getString("password");
boolean enabled = rs.getBoolean("enabled");
boolean accountNonExpired = rs.getBoolean("accountNonExpired");
boolean credentialsNonExpired = rs.getBoolean("credentialsNonExpired");
boolean accountNonLocked = rs.getBoolean("accountNonLocked");
return new User(username1, password, enabled, accountNonExpired, credentialsNonExpired,
accountNonLocked, AuthorityUtils.NO_AUTHORITIES);
});
}
@Override
protected UserDetails createUserDetails(String username, UserDetails userFromUserQuery, List<GrantedAuthority> combinedAuthorities) {
String returnUsername = userFromUserQuery.getUsername();
if (!super.isUsernameBasedPrimaryKey()) {
returnUsername = username;
}
return new User(returnUsername, userFromUserQuery.getPassword(),
userFromUserQuery.isEnabled(),
userFromUserQuery.isAccountNonExpired(),
userFromUserQuery.isCredentialsNonExpired(),
userFromUserQuery.isAccountNonLocked(), combinedAuthorities);
}
在这里我们根据需要指定各个值，例如用户名，密码，是否可用，账号和密码是否过期，是否账号被锁等，所以如果已经设计完成的数据表中字段名称不一致也没有关系，只要含义相同，获取值指定即可。
2、使用hibernate方式时，需要自己实现UserDetailsService接口中的方法loadUserByUsername：
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
User user = userDao.findByUserName(username);
if (user == null) {
throw new UsernameNotFoundException("该用户不存在：" + username);
}
List<GrantedAuthority> authorities = buildUserAuthority(user.getUserRole());
return buildUserForAuthentication(user, authorities);
}
// 把自定义的User转换成org.springframework.security.core.userdetails.User
private org.springframework.security.core.userdetails.User buildUserForAuthentication(
User user,
List<GrantedAuthority> authorities) {
return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(),
user.isEnabled(), user.isAccountNonExpired(), user.isCredentialsNonExpired(), user.isAccountNonLocked(), authorities);
}
private List<GrantedAuthority> buildUserAuthority(Set<UserRole> userRoles) {
Set<GrantedAuthority> setAuths = new HashSet<>();
// Build user's authorities
for (UserRole userRole : userRoles) {
setAuths.add(new SimpleGrantedAuthority(userRole.getRole()));
}
return new ArrayList<>(setAuths);
}
在方法中使用hibernate的方式获取自定义的User实例，然后转换成security中的org.springframework.security.core.userdetails.User即可，org.springframework.security.core.userdetails.User是接口UserDetails的实现类。
附上所有示例的代码的github地址： https://github.com/hongxf1990/spring-security-learning
嘿嘿，如果觉得以上实例项目中可以借鉴的话，不妨打个赏吧
