---

前言

---

一、什么是认证和授权

1.1 认证

系统为什么要认证?认证是为了保护系统的隐私数据与资源用户的身份合法,方可访问该系统的资源。认证︰用户认证就是判断一个用户的身份是否合法的过程用户去访问系统资源时系统要求验证用户的身份信息身份合法 方可继续访问不合法则拒绝访问。常见的用户身份认证方式有:==用户名密码登录二维码登录手机短信登录指纹认证人脸识别等方式。

用户认证通过后为了避免用户的每次操作都进行认证可将用户的信息保证在==会话中==。会话就是系统为了保持当前用户的登录状态所提供的机制常见的有==基于session方式、基于token方式==等。

 

基于session的认证

传统项目[前端和后端代码都在一个工程下。]:

它的交互流程是用户认证成功后在服务端生成用户相关的数据【user对象】保存在session(当前会话setAttribute(key,user)中发给客户端的sesssion_id存放到 cookie中,这样用户客户端请求时带上 session_id 就可以验证服务器端是否存在 session 数据以此完成用户的合法校验当用户退出系统或session过期销毁时,客户端的session_id 也就无效了。---有状态的方式。

基于token的认证

token令牌模式---JWT生成

它的交互流程是,用户认证成功后,服务端生成一个token【唯一字符串】发给客户端,客户端可以放到 cookie 或localStorage等存储中每次请求时带上token,服务端收到token通过验证后即可确认用户身份。---在服务端没有存储token的内容。只在客户端存储

基于session的认证方式由servlet规范定制服务端要存储session信息需要占用内存资源客户端需要支持cookie;基于token的方式则一般不需要服务端存储token并且不限制客户端的存储方式。如今移动互联网时代更多类型的客户端[pC,android,IOS,]需要接入系统系统多是采用前后端分离的架构进行实现所以基于token的方式更适合。

 1.2 授权

还拿微信来举例子微信登录成功后用户即可使用微信的功能比如发红包、发朋友圈、添加好友等没有绑定银行卡的用户是无法发送红包的绑定银行卡的用户才可以发红包发红包功能、发朋友圈功能都是微信的资源即功能资源用户拥有发红包功能的权限才可以正常使用发送红包功能拥有发朋友圈功能的权限才可以便用发朋友圈功能这个根据用户的权限来控制用户使用资源的过程就是授权。

认证是为了保证用户身份的合法性授权则是为了更细粒度的对隐私数据进行划分==授权是在认证通过后发生的==控制不同的用户能够访问不同的资源。授权:授权是用户认证通过根据用户的权限来控制用户访问资源的过程,拥有资源的访问权限则正常访问没有权限则拒绝访问。

 

二、权限设置使用 

    <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>

 配置类

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()//基于内存
                .withUser("admin") //账号
                .password(passwordEncoder.encode("123456")) //密码 注意该密码需要进行加密
                .roles("ADMIN") //该用户具有的角色
                .authorities("user:list","user.delete","user:insert","user:update") //设置用户具有的权限
                .and()
                .withUser("test")
                .password(passwordEncoder.encode("123456"))
                .authorities("user:role")
                .roles("TEST");
    }


    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //设置表单的规则
         http.formLogin()
                 .successForwardUrl("/welcome") //设置登录成功后的路径。该路径是接口路径那么提交方式必须为post
                 .failureForwardUrl("/fail")
                 .permitAll();

         //设置路径与权限的绑定
         http.authorizeRequests()
                 .antMatchers("/list").hasAuthority("user:list")
                 .antMatchers("/insert").hasAuthority("user:insert")
                 .antMatchers("/delete").hasAuthority("user:delete")
                 .antMatchers("/update").hasAuthority("user:update")
                 .antMatchers("/role").hasRole("TEST");

         //设置其他请求必须通过认证
         http.authorizeRequests().anyRequest().authenticated();

    }
}

 

控制层

@RestController
public class UserController {
    @PostMapping("/welcome")
    public String welcome(){
        return "欢迎来到主页";
    }

    @PostMapping("/fail")
    public String fail(){
        return "登录失败";
    }


    @GetMapping("/list")
    public String list(){

        return "user:list";
    }
    @GetMapping("/insert")
    public String insert(){

        return "user:insert";
    }

    @GetMapping("/delete")
    public String delete(){

        return "user:delete";
    }
    @GetMapping("/update")
    public String update(){

        return "user:update";
    }

    @GetMapping("/role")
    public String role(){

        return "user:role";
    }


}

 这样就实现了对应用户对于权限的要求

 

 

---

总结