配置用户存储

Spring Security非常灵活，能够基于各种数据存储来认证用户。它内置了多种常见的用户存储场景，如内存、关系型数据库以及LDAP。同时，我们也可以编写并插入自定义的用户存储实现。借助Spring Security的Java配置，我们能够很容易地配置一个或多个数据存储方案。

一、使用基于内存的用户存储

重写chonfigure(AuthenticationManagerBuilder)方法可以方便地配置Spring Security对认证的支持。通过inmMemoryAuthentication()方法，我们可以启用、配置并任意填充基于内存的用户存储。实例如下：

package spittr.config;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.annotation.web.servlet.configuration.EnableWebMvcSecurity;
import org.springframework.security.web.authentication.rememberme.InMemoryTokenRepositoryImpl;

@Configuration
@EnableWebMvcSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception{
        auth.inMemoryAuthentication()
            .withUser("user").password("password").roles("USER")
            .and()
            .withUser("admin").password("password").roles("USER","ADMIN");
    }
}

withUser()方法返回的是UserDetailsManagerConfigurer.UserDetailsBuilder，这个对象提供了多个进一步配置用户的方法，如上面的为用户设置密码的password()方法、授予用户多个角色权限的roles()方法。UserDetailsManagerConfigurer.UserDetailsBuilder对象的更多方法如下表：

方法	描述
accountExpired(boolean)	账号是否过去
accountLocked(boolean)	账号是否锁定
and()	用来连接配置
authorities(GrantedAuthority..)	授予用户一项或者多项权限
authorities(List<? extends GrantedAuthority>)	授予用户一项或者多项权限
authorities(String…)	授予用户一项或者多项权限
credentialsExpired(boolean)	凭证是否过期
disabled(boolean)	是否被禁用
password(String)	密码
roles(String)	授予用户一项或者多项角色

roles()方法是authorities()方法的简写形式。roles()方法所给定的值都会添加一个“ROLE_”前缀，并将其作为权限授予给用户。如下的配置和上面的等价：

auth.inMemoryAuthentication()
.withUser("user").password("password").authorities("ROLE_USER").and()
.withUser("admin").password("password").authorities("ROLE_USER","ROLE_ADMIN");

二、基于数据库表进行认证

用户数据通常会存储在关系型数据库中，并通过JDBC进行访问。所需的最少配置如下：

@Autowired
DataSource dataSource;
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception{
    auth
       .jdbcAuthentication()
       .dataSource(dataSource);
}

我们使用JDBCAuthentication()方法来实现一JDBC为支撑的用户存储，必须要配置的只是一个DataSource，就能访问关系型数据库了。

重写默认的用户查询功能

Spring Security内部默认的查询语句是写定的，可能在某些情况下并不适用。我们可以按照如下的方式配置自己的查询：

@Override
protected void configure(Authentication auth) throws Exception{
    auth
 .jdbcAuthentication()
 .dataSource(dataSource)
 .usersByUsernameQuery("select username,password,true from Spitter where username=?")
 .authoritiesByUsernameQuery("select username,'ROLE_USER' from Spitter where username=?");
}

在本例中，我们只重写了认证和基本权限的查询语句，但是通过调用groupAuthoritiesByUsername()方法，我们也能够将群组权限重写为自定义的查询语句。将默认的SQL查询替换为自定义的设计时，很重要的一点就是要遵循查询的基本协议。所有查询都将用户名作为唯一的参数。

使用转码后的密码

通常数据库中的密码都会加密，那么如果我们只是按照上面那样配置的话，用户提交的明文密码和数据库的加密密码就会不匹配，从而认证失败。为了解决这个问题，我们需要借助passwordEncoder()方法指定一个密码转码器：

@Override
protected void configure(Authentication auth) throws Exception{
    auth
.jdbcAuthentication()
.dataSource(dataSource)
.usersByUsernameQuery("select username,password,true from Spitter where username=?")
.authoritiesByUsernameQuery("select username,'ROLE_USER' from Spitter where username=?")
 passwordEncoder(new StandardPasswordEncoder("53cr3t"));
}

passwordEncoder()方法可以接受Spring Security中PasswordEncoder接口的任意实现。Spring Security的加密模块包括三个这样的实现：BCryptPasswordEncoder、NoOpPasswordEncoder和StandardPasswordEncoder。

三、配置自定义的用户服务

如果我们需要认证的用户存储在非关系型数据库中，如Mongo或Neo4j，那么我们需要提供一个自定义的UserDetailsService接口实现。UserDetailsService接口非常简单：

public interface UserDetailsService{
    UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
}123

我们需要做的就是实现loadUserByUsername()方法，根据给定的用户名来查找用户。该方法会返回代表给定用户的UserDetails对象。当我们自定义的配置类完成后，以SpitterUserService（实现了UserDetailsSevice接口并重写了loadUserByUsername方法）为例，可以通过如下方式将其配置为用户存储：

@Autowired
SpitterRepository spitterRepository;
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception{
   auth.userDetailsService(new SpitterUserSevice(spitterRepository));
}

来源

SpringSecurity学习笔记之三：配置用户存储