当前位置：

首页 > 编程开发 > 如何用SpringBoot+SpringSecurity实现基于真实数据的授权认证

如何用SpringBoot+SpringSecurity实现基于真实数据的授权认证

作者：小确幸 时间：2023-05-13 来源：互联网 浏览：0

（一）概述SpringSecurity是一个功能强大且高度可定制的身份验证和访问控制框架，SpringSecurity主要做两个事情，认证、授权。我之前写过一篇关于SpringSecurity的博客，但是当时只是介绍了基于mock数据的案例，本期就来介绍一下基于真实数据的认证授权实现。（二）前期项目搭建为了更好的展示SpringSecurity，我们先搭建一个简单的web项目出来。引入thymeleaf依赖org.springframework.bootspring-boot-starter-thymel

（一）概述

Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架，Spring Security主要做两个事情，认证、授权。我之前写过一篇关于SpringSecurity的博客，但是当时只是介绍了基于mock数据的案例，本期就来介绍一下基于真实数据的认证授权实现。

（二）前期项目搭建

为了更好的展示SpringSecurity，我们先搭建一个简单的web项目出来。引入thymeleaf依赖

    org.springframework.boot
    spring-boot-starter-thymeleaf


    org.thymeleaf
    thymeleaf-spring5


    org.thymeleaf.extras
    thymeleaf-extras-java8time

新建一个登陆页，一个首页，然后几个不同等级的展示页面： login.html

    
    



    

        
登陆页
        
        
        登陆
    

index.html

    
    



    
首页
    登陆
    
        
            
level1
            level-1-1
            

            level-1-2
        
        
            
level2
            level-2-1
            

            level-2-2
        

                     

level3

            level-3-1             

---

            level-3-2         

    

另外还有几个不同等级的页面

分别在body中写上自己对应的编号。

    
    


level-1-1

最后编写一个controller来接收请求：

@Controller
public class RouteController {

    @RequestMapping({"/","/index"})
    public String index(){
        return "index";
    }

    @RequestMapping("/login")
    public String toLogin(){
        return "login";
    }

    @RequestMapping("/level1/{id}")
    public String level1(@PathVariable("id")String id){
        return "level1/"+id;
    }
    @RequestMapping("/level2/{id}")
    public String level2(@PathVariable("id")String id){
        return "level2/"+id;
    }
    @RequestMapping("/level3/{id}")
    public String level3(@PathVariable("id")String id){
        return "level3/"+id;
    }
}

最终的效果如下：

最终实现等级不同的level页面根据不同权限进行跳转。

后台基于Mybatis和Mysql数据库实现，因此我们除了引入SpringSecurity的依赖之外，还需要引入Mybatis相关依赖：

    org.springframework.boot
    spring-boot-starter-security


    org.springframework.boot
    spring-boot-starter-jdbc


    mysql
    mysql-connector-java
    runtime


    org.mybatis.spring.boot
    mybatis-spring-boot-starter
    2.1.3

在配置文件中添加数据源相关信息，以及Mybatis的配置：

spring.datasource.url=jdbc:mysql://localhost:3306/security?serverTimezone=UTC&useUnicode=true&characterEncoding=utf-8
spring.datasource.username=root
spring.datasource.password=123456
spring.datasource.driver-class-name=com.mysql.cj.jdbc.Driver

mybatis.mapper-locations=classpath:mapper/*.xml

（三）认证与授权的实现

3.1 表结构设计

认证和授权在表设计上应该分在两个表内，一个表存储用户信息包括密码等，另一个表存储授权信息，还需要一个表建立用户和授权之间的关联，给出最终的表结构：

CREATE TABLE `roles` (
  `id` int(4) NOT NULL,
  `rolename` varchar(255) DEFAULT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

CREATE TABLE `sysuser` (
  `id` int(4) NOT NULL,
  `username` varchar(255) NOT NULL,
  `password` varchar(255) NOT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

CREATE TABLE `user_role` (
  `id` int(4) NOT NULL,
  `user_id` int(4) DEFAULT NULL,
  `role_id` int(4) DEFAULT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

接下来是针对这三张表的实体类，Mapper接口以及xml文件，你可以不看代码，主要实现一个通过用户名查找用户以及相关权限的操作：

@Data
public class Roles {
    private Integer id;
    private String roleName;
}

@Data
public class SysUser {
    private Integer id;
    private String userName;
    private String password;
    private List roles;
}

Mapper接口：

public interface UserMapper {
    public SysUser getUserByUserName(@Param("userName") String userName);
}

xml实现：

    
        
        
        
        
            
        
    
    
        select sysuser.*,roles.rolename
        from sysuser
        LEFT JOIN user_role on sysuser.id= user_role.user_id
        LEFT JOIN roles on user_role.role_id=roles.id
        where username= #{userName}
    

3.2 认证过程

SpringSecurity的认证过程是这样的，首先通过用户名或者其他唯一的ID在数据库里找到这个用户，用户的密码以非对称加密的方式存储。取到用户后将前台传入的密码加密后和数据库中已经加密好的字段进行对比，从而通过认证。

上面这个过程中的第一步通过用户名找到用户的操作需要通过Service服务来实现，并且这个Service服务需要继承SpringSecurity中的UserDetailsService接口。这个接口返回一个SpringSecurity的User对象。

@Service
public class UserService implements UserDetailsService {

    @Resource
    private UserMapper userMapper;
    //根据用户名找到对应的用户信息
    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        SysUser sysUser = userMapper.getUserByUserName(s);
        if (sysUser!=null){
            List roles=new ArrayList<>();
            sysUser.getRoles().stream().forEach(x->{
                roles.add(new SimpleGrantedAuthority(x.getRoleName()));
            });
            return new User(sysUser.getUserName(),sysUser.getPassword(),roles);
        }
        throw new UsernameNotFoundException("用户未找到");
    }
}

3.3 Security拦截配置

上面的步骤都完成后就开始配置Security了，写一个配置方法SecurityConfig，代码层面很简单，认证传入userService对象，会自动把数据库中取出的密码和前端传过来的密码进行对照。同时在userService中还传入了roles集合，在授权处给不同的页面附上不同的权限即可。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserService userService;
    //授权
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //首页所有人都能访问，level页面只有有权限的人才能访问
        http.authorizeRequests()
                .antMatchers("/").permitAll()
                .antMatchers("/level1/**").hasRole("vip1")
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");
        //没有权限默认跳到登陆页，默认会重定向到/login
        http.formLogin();
    }

    //认证
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userService).passwordEncoder(new BCryptPasswordEncoder());

    }
}

3.4 其他注意点

我在认证的时候使用的密码加密方式是BCryptPasswordEncoder，因此存入数据库中的密码也需要被加密，常用的方式就是在注册时通过同样的方式对密码进行加密存入数据库中：

String password="xxx";
BCryptPasswordEncoder bCryptPasswordEncoder = new BCryptPasswordEncoder();
String encode=bCryptPasswordEncoder.encode(password);

相关文章 更多

using namespace 使用中遇到的问题怎么解决

命名空间的基本概念与常见引入问题在C++等编程语言中，命名空间（namespace）是一种将代码标识符（如变量、函数、类名）封装在特定名称下的机制，其主要目的是避免命名冲突，尤其是在大型项目或使用多个第三方库时。使用“using namespace”指令可以将指定命名空间中的所有名称引入当前作用域，

2026-08-07 1 SunnyJourney

编程开发

c语言函数递归 实操经验总结：这些技巧很实用

理解递归的基本原理在C语言中，递归是一种函数调用自身的编程技术。要掌握它，首先需要理解其核心思想：将一个复杂的大问题，分解为一个或几个与原问题相似但规模更小的子问题，直到子问题足够简单，可以直接求解。这个过程通常包含两个关键部分：递归出口和递归体。递归出口定义了问题何时不再继续分解，即最简单、可直接

2026-08-07 0 SoftHope

编程开发

c语言函数递归 怎么选？常见方案对比分析

递归函数的基本概念与适用场景在C语言编程中，递归是一种函数调用自身的编程技巧。它并非适用于所有问题，但在处理某些具有自相似结构的问题时，能提供极其清晰和优雅的解决方案。递归的核心思想是将一个大规模问题分解为一个或多个同类型但规模更小的子问题，直到子问题简单到可以直接求解。典型的适用场景包括树形结构的

2026-08-07 0 归人云淡风轻

编程开发

Objective-C 内存管理入门：从 alloc 到 dealloc 的生命周期详解

理解内存管理的基石在Objective-C的编程世界中，内存管理是开发者必须掌握的核心技能之一。它直接关系到应用的性能、稳定性与资源利用效率。与一些采用自动垃圾回收机制的语言不同，Objective-C在很长一段时间里，依赖一套基于引用计数的、需要开发者部分介入的管理规则。这套规则的核心思想是明确的

2026-08-07 0 SunnyJourney

编程开发

如何正确使用 dealloc 以避免 iOS 应用中的内存泄漏

理解 dealloc 的角色与时机在 iOS 应用开发中，内存管理是保障应用性能与稳定性的基石。dealloc 方法是 Objective-C 中对象生命周期结束时的关键回调，它标志着对象即将被系统回收内存。正确理解其触发时机至关重要：当一个对象的引用计数降为零时，运行时系统会自动调用该对象的 de

2026-08-07 0 WarmHope

编程开发

深入理解 Objective-C 中的 dealloc 方法：内存管理核心机制

内存管理的基石在Objective-C的世界里，内存管理是开发者必须掌握的核心技能之一。作为一门在手动引用计数（MRC）时代诞生的语言，Objective-C要求程序员对对象的生命周期有清晰的认识。dealloc方法正是这一生命周期中至关重要的终点站。它是一个实例方法，当对象的引用计数降为零时，系统

2026-08-07 0 归人云淡风轻

编程开发

理解 native2ascii：Java 国际化开发中的字符编码工具

native2ascii 工具的基本定位在Ja va应用程序的国际化与本地化开发过程中，处理非拉丁字符集是一个常见且关键的环节。Ja va内部使用Unicode字符集来统一表示全球各种语言的文字，但其属性文件（.properties）在历史上要求使用ASCII编码，或者更准确地说，要求非ASCII字

2026-08-07 0 小确幸

编程开发

如何使用 native2ascii 转换中文字符为 Unicode 转义序列

理解 native2ascii 工具的基本用途在软件开发，特别是涉及国际化处理的场景中，开发者常常需要处理不同编码的文本资源。native2ascii 是 Ja va 开发工具包（JDK）中提供的一个命令行实用程序，其主要功能是将包含本地字符编码（非ASCII字符）的文件，转换为包含 Unicode

2026-08-07 0 慢热型

编程开发

Java native2ascii 命令详解：解决属性文件乱码问题

native2ascii 命令的由来与作用在Ja va开发中，处理国际化资源文件是一个常见需求。资源文件通常以.properties格式存储，用于支持多语言界面。然而，Ja va属性文件默认采用ISO-8859-1字符集编码，这导致了一个直接的问题：当文件中包含非拉丁字符（如中文、日文、韩文等）时，

2026-08-07 0 SoftHope

编程开发

一个 memwatch 实战案例：定位野指针问题

内存监控工具的价值与挑战在软件开发，尤其是使用C/C++这类手动管理内存的语言时，内存错误是程序员最常遭遇的难题之一。其中，野指针问题因其隐蔽性和破坏性，往往成为最难定位的“幽灵”缺陷。它可能潜伏在代码中，在特定条件下才被触发，导致程序崩溃、数据损坏或难以预测的行为。传统的调试手段，如打印日志或使用

2026-08-07 0 RainLight

编程开发

查看更多

热门文章 更多

Yandex中文入口及登录使用全攻略 B站免费入口永久有效网址推荐 51漫画高清入口及最新章节更新 B站免费入口网站高效连接方法 高德地图开启海拔显示方法 蓝海书屋免费小说全本阅读推荐入口 海棠文学入口地址 海棠小说追书绿色安全平台稳定入口 我的世界网页版即点即玩入口推荐 JS金额计算怎么避免四舍五入误差 Photoshop快捷键技巧教程 常用命令一览表及图解

精品专题 更多

装机必备

正软商城装机必备专区，精选办公、浏览器、安全防护、影音播放、压缩解压、设计创作和系统工具等电脑常用正版软件，帮助用户快速完成新电脑软件配置。

Windows

正软商城Windows软件专区，汇集适用于Windows电脑的办公、设计、安全防护、影音播放、开发工具和系统优化软件，提供软件介绍、系统要求、正版授权及购买下载服务。

macOS软件

正软商城macOS软件专区，精选适用于Mac电脑的办公、设计、影音、效率、开发和系统工具，提供软件功能介绍、macOS兼容版本、正版授权及购买下载服务。

Mac软件 更多

灵活计算器

macOS/iOS/Android

灵活计算器是一款笔记式算数应用，支持实时计算、动态关联和云端同步功能。记录、整理和输出之间的过渡会更自然，适合长期写作、做笔记或持续沉淀个人内容。

赤友清理大师

macOS

赤友清理大师是一款为 Mac 设计的智能清理优化工具，可精准扫描垃圾、大文件、重复文件等，释放磁盘空间。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。

极度公式

Windows/macOS/Linux

极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。

WINDOWS 更多

Windows 10

Windows

Windows 10 是一款微软推出的经典操作系统，拥有硬件兼容性与多任务处理能力。它更偏向把系统状态查看和常用调节动作放在一起，适合需要持续观察和微调设备状态的场景。

极度公式

Windows/macOS/Linux

极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。

密码键盘

Windows/macOS/iOS/Android

密码键盘是一款兼具安全性与便捷性的高效密码管理器。日常使用里的持续防护和信息管理会更突出，适合把安全控制放进长期使用流程中的场景。