2.7 UserDetailsService接口的实现

@Service
public class JpaUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public CustomUserDetails loadUserByUsername(String username) {
    	//声明一个Supplier来创建异常实例
        Supplier<UsernameNotFoundException> s =
                () -> new UsernameNotFoundException("Problem during authentication!");

        User u = userRepository
        				//返回包含用户的Optional实例。如果用户不存在，则返回空的Optional实例。
        				.findUserByUsername(username)
        				//如果Optional实例为空，则抛出所定义的Suppier创建的异常；否则，它将返回User实例
        				.orElseThrow(s);

		//使用CustomUserDetails装饰器包装User实例并返回它
        return new CustomUserDetails(u);
    }
}

3、实现自定义身份验证逻辑

  完成用户和密码管理之后，接下来可以开始编写自定义身份验证逻辑了。为此，必须实现一个AuthenticationProvider并将其注册到Spring Security身份验证架构中。编写身份验证逻辑所需的依赖项是UserDetailsService实现和两个密码编码器。除了自动装配这些依赖项，我们还重写了authenticate()和supports()方法。需要实现supports()方法将受支持的Authentication实现类型指定为UsernamePasswordAuthenticationToken。

3.1 实现AuthenticationProvider

@Service
public class AuthenticationProviderService implements AuthenticationProvider {

    @Autowired
    private JpaUserDetailsService userDetailsService;

    @Autowired
    private BCryptPasswordEncoder bCryptPasswordEncoder;

    @Autowired
    private SCryptPasswordEncoder sCryptPasswordEncoder;

    //重写authenticate()方法来定义身份验证逻辑
    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.getName();
        String password = authentication.getCredentials().toString();
		//使用UserDetailsService从数据库中查找用户详细信息
        CustomUserDetails user = userDetailsService.loadUserByUsername(username);
		//根据特定于用户的哈希算法来验证密码
        switch (user.getUser().getAlgorithm()) {
            case BCRYPT:
                return checkPassword(user, password, bCryptPasswordEncoder);
            case SCRYPT:
                return checkPassword(user, password, sCryptPasswordEncoder);
        }

        throw new  BadCredentialsException("Bad credentials");
    }

    @Override
    public boolean supports(Class<?> aClass) {
        return UsernamePasswordAuthenticationToken.class.isAssignableFrom(aClass);
    }

    private Authentication checkPassword(CustomUserDetails user, String rawPassword, PasswordEncoder encoder) {
        if (encoder.matches(rawPassword, user.getPassword())) {
            return new UsernamePasswordAuthenticationToken(user.getUsername(), user.getPassword(), user.getAuthorities());
        } else {
            throw new BadCredentialsException("Bad credentials");
        }
    }
}

  authenticate()方法首先会根据用户的用户名加载用户，然后会验证密码是否与数据库中存储的哈希值相匹配。验证过程摇依赖于哈希化用户密码的算法。

3.2 在配置类中注册AuthenticationProvider

@Configuration
public class ProjectConfig extends WebSecurityConfigurerAdapter {

    //从上下文中获取AuthenticationProviderService的实例。
    @Autowired
    private AuthenticationProviderService authenticationProvider;

    @Bean
    public BCryptPasswordEncoder bCryptPasswordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public SCryptPasswordEncoder sCryptPasswordEncoder() {
        return new SCryptPasswordEncoder();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) {
        //通过重写configure()方法，为Spring Security注册身份验证提供程序
        auth.authenticationProvider(authenticationProvider);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin()
            .defaultSuccessUrl("/main", true);
        http.authorizeRequests().anyRequest().authenticated();
    }
}

3.3 将formLogin配置为身份验证方法

 @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin()
            .defaultSuccessUrl("/main", true);
        http.authorizeRequests().anyRequest().authenticated();
    }

4、实现主页面

  最后，既然安全部分已经就绪，就可以实现应用程序的主页了。它是一个简单的页面，其中会显示product表的所有记录。此页面仅在用户登录后才可访问。为了从数据库获取产品记录，必须向项目中添加一个Product实体类和一个ProductRepository接口

4.1 定义Product JPA实体

@Entity
public class Product {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Integer id;

    private String name;
    private double price;

    @Enumerated(EnumType.STRING)
    private Currency currency;

    public Integer getId() {
        return id;
    }

    public void setId(Integer id) {
        this.id = id;
    }

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }

    public double getPrice() {
        return price;
    }

    public void setPrice(double price) {
        this.price = price;
    }

    public Currency getCurrency() {
        return currency;
    }

    public void setCurrency(Currency currency) {
        this.currency = currency;
    }
}

Currency枚举声明了应用程序中允许作为货币的类型。

public enum Currency {
    USD, GBP, EUR
}

4.2 ProductRepository接口的定义

public interface ProductRepository extends JpaRepository<Product, Integer> {
}

4.3 ProductService类的实现

@Service
public class ProductService {

    @Autowired
    private ProductRepository productRepository;
	
    //从数据库中检索所有产品
    public List<Product> findAll() {
        return productRepository.findAll();
    }
}

4.4 控制器类的定义

@Controller
public class MainPageController {

    @Autowired
    private ProductService productService;

    @GetMapping("/main")
    public String main(Authentication a, Model model) {
        model.addAttribute("username", a.getName());
        model.addAttribute("products", productService.findAll());
        return "main.html";
    }
}

main.html页面存储在resources/templates文件夹中，并且会显示产品和登录用户的名称

4.5 主页面的定义

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>Products</title>
    </head>
    <body>
        <h2 th:text="'Hello, ' + ${username} + '!'" />
        <p><a href="/logout">Sign out here</a></p>

        <h2>These are all the products:</h2>
        <table>
            <thead>
            <tr>
                <th> Name </th>
                <th> Price </th>
            </tr>
            </thead>
            <tbody>
            <tr th:if="${products.empty}">
                <td colspan="2"> No Products Available </td>
            </tr>
            <tr th:each="book : ${products}">
                <td><span th:text="${book.name}"> Name </span></td>
                <td><span th:text="${book.price}"> Price </span></td>
            </tr>
            </tbody>
        </table>
    </body>
</html>

5、运行和测试应用程序

  浏览器访问http://localhost:8080访问。

  标准的登陆表单如下图所示，存储在数据库中的用户是john,其密码是12345，该密码使用了bcrypt进行哈希化处理。可以使用这些凭据进行登录。

真实场景中，绝不允许用户定义如此简单的密码，存在安全风险。

  登录后，应用程序会将访问者重定向到主页。在这里，从安全上下文获取的用户名将出现在页面上，同时显示来自数据库的产品列表。

  当单击Sign out here链接时，应用程序会重定向到标准的注销确认页面，这是Sping Security预先定义好的，因为我们使用的是formLogin身份验证方法。

  单击Log Out后，访问者将被重定向回登录页面。

至此，一个小型且安全的Web应用程序就搭建好了，这个太简单了，真实场景中都是前后端分离的项目，关于SpringSecurity如何在前后端分离的项目中使用我后面会单独发一篇博客。