資訊專(zhuān)欄INFORMATION COLUMN
摘要：構(gòu)造函數(shù)的第一個(gè)參數(shù)是對(duì)象，所以可以自定義緩存對(duì)象。在微服務(wù)各個(gè)模塊獲取用戶的這些信息的方法如下略權(quán)限控制啟用基于方法的權(quán)限注解簡(jiǎn)單權(quán)限校驗(yàn)例如，刪除角色的接口，僅允許擁有權(quán)限的用戶訪問(wèn)。
微服務(wù)架構(gòu)
網(wǎng)關(guān)：路由用戶請(qǐng)求到指定服務(wù)，轉(zhuǎn)發(fā)前端 Cookie 中包含的 Session 信息；
用戶服務(wù)：用戶登錄認(rèn)證（Authentication），用戶授權(quán)（Authority），用戶管理（Redis Session Management）
其他服務(wù)：依賴 Redis 中用戶信息進(jìn)行接口請(qǐng)求驗(yàn)證
用戶 - 角色 - 權(quán)限表結(jié)構(gòu)設(shè)計(jì)權(quán)限表
權(quán)限表最小粒度的控制單個(gè)功能，例如用戶管理、資源管理，表結(jié)構(gòu)示例：
| id | authority | description |
|---|---|---|
| 1 | ROLE_ADMIN_USER | 管理所有用戶 |
| 2 | ROLE_ADMIN_RESOURCE | 管理所有資源 |
| 3 | ROLE_A_1 | 訪問(wèn) ServiceA 的某接口的權(quán)限 |
| 4 | ROLE_A_2 | 訪問(wèn) ServiceA 的另一個(gè)接口的權(quán)限 |
| 5 | ROLE_B_1 | 訪問(wèn) ServiceB 的某接口的權(quán)限 |
| 6 | ROLE_B_2 | 訪問(wèn) ServiceB 的另一個(gè)接口的權(quán)限 |
角色 - 權(quán)限表
自定義角色，組合各種權(quán)限，例如超級(jí)管理員擁有所有權(quán)限，表結(jié)構(gòu)示例：
| id | name | authority_ids |
|---|---|---|
| 1 | 超級(jí)管理員 | 1,2,3,4,5,6 |
| 2 | 管理員A | 3,4 |
| 3 | 管理員B | 5,6 |
| 4 | 普通用戶 | NULL |
用戶 - 角色表
用戶綁定一個(gè)或多個(gè)角色，即分配各種權(quán)限，示例表結(jié)構(gòu)：
| user_id | role_id |
|---|---|
| 1 | 1 |
| 1 | 4 |
| 2 | 2 |
Maven 依賴（所有服務(wù)）
org.springframework.boot
spring-boot-starter-security
org.springframework.session
spring-session-data-redis
應(yīng)用配置 application.yml 示例：
# Spring Session 配置 spring.session.store-type=redis server.servlet.session.persistent=true server.servlet.session.timeout=7d server.servlet.session.cookie.max-age=7d # Redis 配置 spring.redis.host=spring.redis.port=6379 # MySQL 配置 spring.datasource.driver-class-name=com.mysql.jdbc.Driver spring.datasource.url=jdbc:mysql:// :3306/test spring.datasource.username= spring.datasource.password=
用戶登錄認(rèn)證（authentication）與授權(quán)（authority）
@Slf4j
public class CustomAuthenticationFilter extends AbstractAuthenticationProcessingFilter {
private final UserService userService;
CustomAuthenticationFilter(String defaultFilterProcessesUrl, UserService userService) {
super(new AntPathRequestMatcher(defaultFilterProcessesUrl, HttpMethod.POST.name()));
this.userService = userService;
}
@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
JSONObject requestBody = getRequestBody(request);
String username = requestBody.getString("username");
String password = requestBody.getString("password");
UserDO user = userService.getByUsername(username);
if (user != null && validateUsernameAndPassword(username, password, user)){
// 查詢用戶的 authority
List userAuthorities = userService.getSimpleGrantedAuthority(user.getId());
return new UsernamePasswordAuthenticationToken(user.getId(), null, userAuthorities);
}
throw new AuthenticationServiceException("登錄失敗");
}
/**
* 獲取請(qǐng)求體
*/
private JSONObject getRequestBody(HttpServletRequest request) throws AuthenticationException{
try {
StringBuilder stringBuilder = new StringBuilder();
InputStream inputStream = request.getInputStream();
byte[] bs = new byte[StreamUtils.BUFFER_SIZE];
int len;
while ((len = inputStream.read(bs)) != -1) {
stringBuilder.append(new String(bs, 0, len));
}
return JSON.parseObject(stringBuilder.toString());
} catch (IOException e) {
log.error("get request body error.");
}
throw new AuthenticationServiceException(HttpRequestStatusEnum.INVALID_REQUEST.getMessage());
}
/**
* 校驗(yàn)用戶名和密碼
*/
private boolean validateUsernameAndPassword(String username, String password, UserDO user) throws AuthenticationException {
return username == user.getUsername() && password == user.getPassword();
}
}
@EnableWebSecurity
@AllArgsConstructor
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
private static final String LOGIN_URL = "/user/login";
private static final String LOGOUT_URL = "/user/logout";
private final UserService userService;
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers(LOGIN_URL).permitAll()
.anyRequest().authenticated()
.and()
.logout().logoutUrl(LOGOUT_URL).clearAuthentication(true).permitAll()
.and()
.csrf().disable();
http.addFilterAt(bipAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class)
.rememberMe().alwaysRemember(true);
}
/**
* 自定義認(rèn)證過(guò)濾器
*/
private CustomAuthenticationFilter customAuthenticationFilter() {
CustomAuthenticationFilter authenticationFilter = new CustomAuthenticationFilter(LOGIN_URL, userService);
return authenticationFilter;
}
}
其他服務(wù)設(shè)計(jì)
應(yīng)用配置 application.yml 示例：
# Spring Session 配置 spring.session.store-type=redis # Redis 配置 spring.redis.host=spring.redis.port=6379
全局安全配置
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.anyRequest().authenticated()
.and()
.csrf().disable();
}
}
用戶認(rèn)證信息獲取
用戶通過(guò)用戶服務(wù)登錄成功后，用戶信息會(huì)被緩存到 Redis，緩存的信息與 CustomAuthenticationFilter 中 attemptAuthentication() 方法返回的對(duì)象有關(guān)，如上所以，返回的對(duì)象是 new UsernamePasswordAuthenticationToken(user.getId(), null, userAuthorities)，即 Redis 緩存了用戶的 ID 和用戶的權(quán)力（authorities）。
UsernamePasswordAuthenticationToken 構(gòu)造函數(shù)的第一個(gè)參數(shù)是 Object 對(duì)象，所以可以自定義緩存對(duì)象。
在微服務(wù)各個(gè)模塊獲取用戶的這些信息的方法如下：
@GetMapping()
public WebResponse test(@AuthenticationPrincipal UsernamePasswordAuthenticationToken authenticationToken){
// 略
}
權(quán)限控制
啟用基于方法的權(quán)限注解
@SpringBootApplication
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class Application {
public static void main(String[] args) {
SpringApplication.run(Application.class, args);
}
}
簡(jiǎn)單權(quán)限校驗(yàn)
例如，刪除角色的接口，僅允許擁有 ROLE_ADMIN_USER 權(quán)限的用戶訪問(wèn)。
/**
* 刪除角色
*/
@PostMapping("/delete")
@PreAuthorize("hasRole("ADMIN_USER")")
public WebResponse deleteRole(@RequestBody RoleBean roleBean){
// 略
}
@PreAuthorize("hasRole("")") 可作用于微服務(wù)中的各個(gè)模塊
自定義權(quán)限校驗(yàn)
如上所示，hasRole() 方法是 Spring Security 內(nèi)嵌的，如需自定義，可以使用 Expression-Based Access Control，示例：
/**
* 自定義校驗(yàn)服務(wù)
*/
@Service
public class CustomService{
public boolean check(UsernamePasswordAuthenticationToken authenticationToken, String extraParam){
// 略
}
}
/**
* 刪除角色
*/
@PostMapping()
@PreAuthorize("@customService.check(authentication, #userBean.username)")
public WebResponse custom(@RequestBody UserBean userBean){
// 略
}
