SpringBoot2.7 WebSecurityConfigurerAdapter類過期設定

2022-06-17 18:01:59

前言

進入到 SpringBoot2.7 時代，有小夥伴發現有一個常用的類忽然過期了：

在 Spring Security 時代，這個類可太重要了。過期的類當然可以繼續使用，但是你要是決定彆扭，只需要稍微看一下注釋，基本上就明白該怎麼玩了。

WebSecurityConfigurerAdapter 的註釋

我們來看下 WebSecurityConfigurerAdapter 的註釋：

從這段註釋中我們大概就明白了咋回事了。

設定Spring Security

以前我們自定義類繼承自 WebSecurityConfigurerAdapter 來設定我們的 Spring Security，我們主要是設定兩個東西：

configure(HttpSecurity)
configure(WebSecurity)

前者主要是設定 Spring Security 中的過濾器鏈，後者則主要是設定一些路徑放行規則。

現在在 WebSecurityConfigurerAdapter 的註釋中，人家已經把意思說的很明白了：

以後如果想要設定過濾器鏈，可以通過自定義 SecurityFilterChain Bean 來實現。
以後如果想要設定 WebSecurity，可以通過 WebSecurityCustomizer Bean 來實現。

那麼接下來我們就通過一個簡單的例子來看下。

引入Web和Spring Security依賴

首先我們新建一個 Spring Boot 工程，引入 Web 和 Spring Security 依賴，注意 Spring Boot 選擇最新的 2.7。

接下來我們提供一個簡單的測試介面，如下：

@RestController
public class HelloController {
    @GetMapping("/hello")
    public String hello() {
        return "hello 江南一點雨!";
    }
}

小夥伴們知道，在 Spring Security 中，預設情況下，只要新增了依賴，我們專案的所有介面就已經被統統保護起來了，現在啟動專案，存取 /hello 介面，就需要登入之後才可以存取，登入的使用者名稱是 user，密碼則是隨機生成的，在專案的啟動紀錄檔中。

現在我們的第一個需求是使用自定義的使用者，而不是系統預設提供的，這個簡單，我們只需要向 Spring 容器中註冊一個 UserDetailsService 的範例即可，像下面這樣：

@Configuration
public class SecurityConfig {
    @Bean
    UserDetailsService userDetailsService() {
        InMemoryUserDetailsManager users = new InMemoryUserDetailsManager();
        users.createUser(User.withUsername("javaboy").password("{noop}123").roles("admin").build());
        users.createUser(User.withUsername("江南一點雨").password("{noop}123").roles("admin").build());
        return users;
    }
}

這就可以了。

當然我現在的使用者是存在記憶體中的，如果你的使用者是存在資料庫中，那麼只需要提供 UserDetailsService 介面的實現類並注入 Spring 容器即可，這個之前在 vhr 視訊中講過多次了（公號後臺回覆 666 有視訊介紹），這裡就不再贅述了。

重寫configure(WebSecurity方法進行設定

但是假如說我希望 /hello 這個介面能夠匿名存取，並且我希望這個匿名存取還不經過 Spring Security 過濾器鏈，要是在以前，我們可以重寫 configure(WebSecurity) 方法進行設定，但是現在，得換一種玩法：

@Configuration
public class SecurityConfig {
    @Bean
    UserDetailsService userDetailsService() {
        InMemoryUserDetailsManager users = new InMemoryUserDetailsManager();
        users.createUser(User.withUsername("javaboy").password("{noop}123").roles("admin").build());
        users.createUser(User.withUsername("江南一點雨").password("{noop}123").roles("admin").build());
        return users;
    }
    @Bean
    WebSecurityCustomizer webSecurityCustomizer() {
        return new WebSecurityCustomizer() {
            @Override
            public void customize(WebSecurity web) {
                web.ignoring().antMatchers("/hello");
            }
        };
    }
}

以前位於 configure(WebSecurity) 方法中的內容，現在位於 WebSecurityCustomizer Bean 中，該設定的東西寫在這裡就可以了。

客製化登入頁面引數等

那如果我還希望對登入頁面，引數等，進行客製化呢？繼續往下看：

@Configuration
public class SecurityConfig {
    @Bean
    UserDetailsService userDetailsService() {
        InMemoryUserDetailsManager users = new InMemoryUserDetailsManager();
        users.createUser(User.withUsername("javaboy").password("{noop}123").roles("admin").build());
        users.createUser(User.withUsername("江南一點雨").password("{noop}123").roles("admin").build());
        return users;
    }
    @Bean
    SecurityFilterChain securityFilterChain() {
        List&lt;Filter&gt; filters = new ArrayList&lt;&gt;();
        return new DefaultSecurityFilterChain(new AntPathRequestMatcher("/**"), filters);
    }
}

Spring Security 的底層實際上就是一堆過濾器，所以我們之前在 configure(HttpSecurity) 方法中的設定，實際上就是設定過濾器鏈。現在過濾器鏈的設定，我們通過提供一個 SecurityFilterChain Bean 來設定過濾器鏈，SecurityFilterChain 是一個介面，這個介面只有一個實現類 DefaultSecurityFilterChain，構建 DefaultSecurityFilterChain 的第一個引數是攔截規則，也就是哪些路徑需要攔截，第二個引數則是過濾器鏈，這裡我給了一個空集合，也就是我們的 Spring Security 會攔截下所有的請求，然後在一個空集合中走一圈就結束了，相當於不攔截任何請求。

此時重啟專案，你會發現 /hello 也是可以直接存取的，就是因為這個路徑不經過任何過濾器。

其實我覺得目前這中新寫法比以前老的寫法更直觀，更容易讓大家理解到 Spring Security 底層的過濾器鏈工作機制。

有小夥伴會說，這寫法跟我以前寫的也不一樣呀！這麼設定，我也不知道 Spring Security 中有哪些過濾器，其實，換一個寫法，我們就可以將這個設定成以前那種樣子：

@Configuration
public class SecurityConfig {
    @Bean
    UserDetailsService userDetailsService() {
        InMemoryUserDetailsManager users = new InMemoryUserDetailsManager();
        users.createUser(User.withUsername("javaboy").password("{noop}123").roles("admin").build());
        users.createUser(User.withUsername("江南一點雨").password("{noop}123").roles("admin").build());
        return users;
    }
    @Bean
    SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .permitAll()
                .and()
                .csrf().disable();
        return http.build();
    }
}

這麼寫，就跟以前的寫法其實沒啥大的差別了。

好啦，多餘的廢話我就不多說了，小夥伴們可以去試試 Spring Boot2.7 的最新玩法啦～

更多關於SpringBoot2.7類的資料請關注it145.com其它相關文章！