1. 前言
又是新的一周，博主继续来给大家更新 spring security 实战教程了，在上一个章节中我们详细介绍了 spring security 的底层原理，本章节博主将带着大家介绍如何在 spring security 中实现基于内存的用户认证。
虽然 spring security 基于内存的用户认证，实际开发来说相对来说用的比较少，但某些场景下（如：开发阶段、原型验证、演示环境搭建、单元测试/集成测试、或甚至不需要数据库的简单系统），基于内存的用户认证方式就足以满足需求，为了应对这样需求，博主觉得还是要必要聊一聊基于内存的用户认证。
2. 因何选择内存认证？
就如前面说的场景，总结内存认证主要有以下几个优点：
- 简单快捷：配置简单，不需要依赖数据库或外部存储，适用于快速构建和测试。
- 易于调试：所有用户信息存储在代码中，方便开发过程中快速定位问题。
- 适用于小型应用：对于用户数量较少的应用或者临时验证原型，内存认证是个不错的选择
当然，内存认证也有局限性：用户数据不持久化、无法扩展到分布式系统等。因此，在生产环境中，通常会采用基于数据库或其他外部认证机制的方式。
与数据库认证对比
| 特性 | 内存认证 | 数据库认证 |
|---|---|---|
| 用户存储位置 | 应用内存 | 持久化存储 |
| 用户管理灵活性 | 配置硬编码 | 动态增删改查 |
| 生产环境适用性 | 不推荐 | 推荐 |
3. 基础配置实战
接下来在之前的maven项目中还是创建第三个子模块 memory-spring-security ，完整的maven项目结构如下：
❶ 创建spring security配置文件
现在我们来创建一个spring security 配置文件 inmemorysecurityconfig
@configuration
public class inmemorysecurityconfig {
// 手动配置用户信息
@bean
public userdetailsservice users() {
userdetails user = user.withusername("user")
.password("{noop}user") // {noop}表示不加密
.roles("user")
.build();
userdetails admin = user.withusername("admin")
.password("{noop}admin")
.roles("admin")
.build();
//可以继续追加其它用户...
userdetails anonymous = user.withusername("anonymous")
.password("{noop}anonymous")
.roles("anonymous")
.build();
return new inmemoryuserdetailsmanager(user, admin, anonymous);
}
// 配置安全策略 并配置/admin/** 只允许admin角色用户访问
@bean
public securityfilterchain filterchain(httpsecurity http) throws exception {
http.
authorizehttprequests(authorize -> authorize
.requestmatchers("/admin/**").hasrole("admin")
.anyrequest().authenticated()
)
.formlogin(withdefaults())
.logout(withdefaults())
;
return http.build();
}
}配置说明
- 构建userdetailsservice
创建两个用户信息分别是：admin、user ，并由inmemoryuserdetailsmanager进行在内存中保存用户数据- securityfilterchain
在securityfilterchain中，默认采用了spring security表单登陆登出方式，并配置/admin/**请求路径下需要管理员角色方可访问
❷ 创建controller测试
接下来我们创建用以测试的controller ：demomemorycontroller
@controller
public class demomemorycontroller {
//返回用户信息及角色权限
@getmapping("/")
public responseentity<map<string, object>> index(authentication authentication) {
string username = authentication.getname();//用户名
object principal =authentication.getprincipal();//身份
// 获取用户拥有的权限列表
list<string> roles = authentication.getauthorities().stream()
.map(grantedauthority::getauthority)
.collect(collectors.tolist());
//返回用户信息
return responseentity.ok(map.of(
"username", username,
"principal", principal,
"roles", roles));
}
//测试管理员权限
@getmapping("/admin/view")
public responseentity<string> admin() {
return responseentity.ok("管理员admin角色访问ok");
}
}代码说明
- 注入 authentication 对象
在index方法中，通过方法参数直接注入authentication对象，spring security会自动传入当前认证信息。- 提取用户信息
通过authentication.getname()获取当前登录用户的用户名；通过authentication.getauthorities()获取用户的权限列表，并将每个权限的 getauthority() 值收集成一个字符串列表。
❸ 运行测试
启动项目访问，登陆页中分别测试两个用户登陆查看信息，如user用户：
接下来尝试使用user用户访问 /admin/view 路径，会出现 403 访问错误提示：即您无权访问此地址
切换admin用户登陆，继续访问 /admin/view 路径，出现 管理员admin角色访问ok 文字显示即代表管理员角色允许访问
4. 追加密码编码器
在上述代码中，我们使用了 password(“{noop}admin”) 声明了密码明文存储，如果我们需要对密码加密，如何操作？ 实际上 spring security 为我们提供了非常方便的密码编码器
密码编码器配置
只需要创建 passwordencoder bean，并返回加密类型，如下代码样例：
@bean
public passwordencoder passwordencoder() {
return new bcryptpasswordencoder();
}
@bean
public userdetailsservice users(passwordencoder encoder) {
userdetails user = user.builder()
.username("user")
.password(encoder.encode("secret"))
.roles("user")
.build();
return new inmemoryuserdetailsmanager(user);
}支持的编码格式：
# 不同前缀对应不同编码器
{noop} → nooppasswordencoder (明文)
{bcrypt} → bcryptpasswordencoder
{pbkdf2} → pbkdf2passwordencoder
{scrypt} → scryptpasswordencoder
{sha256} → standardpasswordencoder
5. 总结
通过本章节的配置示例，相信你已经可以使用 spring security 的基于内存认证方式来快速搭建安全认证体系。
注意章节中提到的基于内存的用户认证适用的场景，更多情况下还是建议使用 更为健全的认证方式，如 基于数据库的认证、jwt 令牌认证或 oauth2，在下一章节我们将重点讲述数据库的认证，敬请期待…
到此这篇关于最新spring security的基于内存用户认证方式的文章就介绍到这了,更多相关spring security内存用户认证内容请搜索代码网以前的文章或继续浏览下面的相关文章希望大家以后多多支持代码网！