SysUserDetailsService用户登录service about blog

[C3Stones]

在博客 SpringBoot + SpringSecurity + Mybatis-Plus + JWT实现分布式系统认证和授权 中，权限设计为：用户 拥有 角色，角色 拥有 权限。
在UserDetailsService实现类中，将用户的角色保存到UserDetails实体中的目的是为了：当请求接口的权限注解@PreAuthorize()中存在hasRole('***')时，会根据UserDetails中的角色集合自动判断是否有权限。
当然，权限注解@PreAuthorize()中也可能存在hasPermission('***')时，会进入到PermissionEvaluator的实现类中，进行权限标识判断。

[hx-hexing]

curl -X POST "http://127.0.0.1:8080/login/submit?username=guest&password=123456"
请问: 这里的login/submit的接口是自定义的吗?

[C3Stones]

在系统核心配置类SysSecurityConfig的方法configure中，配置了登录、登出、权限、跨域、Session等相关参数。

/**
 * 系统安全核心配置
 * 
 * @author CL
 *
 */
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true) // 开启方法权限注解
public class SysSecurityConfig extends WebSecurityConfigurerAdapter {

	// ......

	/**
	 * 安全权限配置
	 */
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.authorizeRequests() // 权限配置
				.antMatchers(JWTConfig.antMatchers.split(",")).permitAll()// 获取白名单（不进行权限验证）
				.anyRequest().authenticated() // 其他的需要登陆后才能访问
				.and().httpBasic().authenticationEntryPoint(userNotLoginHandler) // 配置未登录处理类
				.and().formLogin().loginProcessingUrl("/login/submit")// 配置登录URL
				.successHandler(userLoginSuccessHandler) // 配置登录成功处理类
				.failureHandler(userLoginFailureHandler) // 配置登录失败处理类
				.and().logout().logoutUrl("/logout/submit")// 配置登出地址
				.logoutSuccessHandler(userLogoutSuccessHandler) // 配置用户登出处理类
				.and().exceptionHandling().accessDeniedHandler(userAccessDeniedHandler)// 配置没有权限处理类
				.and().cors()// 开启跨域
				.and().csrf().disable(); // 禁用跨站请求伪造防护
		http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); // 禁用session（使用Token认证）
		http.headers().cacheControl(); // 禁用缓存
		http.addFilter(new JWTAuthenticationFilter(authenticationManager())); //// 添加JWT过滤器
	}
}

[hx-hexing]

好的，已明白。谢谢大佬---- 回复的原邮件 ***@***.***>发送日期2022年02月15日 16:39 ***@***.***> ***@***.******@***.***>主题Re: [C3Stones/blog] SysUserDetailsService用户登录service (Issue #3) 在系统核心配置类SysSecurityConfig的方法configure中，配置了登录、登出、权限、跨域、Session等相关参数。 ` /** 系统安全核心配置 @author CL */ @configuration @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) // 开启方法权限注解 public class SysSecurityConfig extends WebSecurityConfigurerAdapter { // ...... /** * 安全权限配置 */ @OverRide protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() // 权限配置 .antMatchers(JWTConfig.antMatchers.split(",")).permitAll()// 获取白名单（不进行权限验证） .anyRequest().authenticated() // 其他的需要登陆后才能访问 .and().httpBasic().authenticationEntryPoint(userNotLoginHandler) // 配置未登录处理类 .and().formLogin().loginProcessingUrl("/login/submit")// 配置登录URL .successHandler(userLoginSuccessHandler) // 配置登录成功处理类 .failureHandler(userLoginFailureHandler) // 配置登录失败处理类 .and().logout().logoutUrl("/logout/submit")// 配置登出地址 .logoutSuccessHandler(userLogoutSuccessHandler) // 配置用户登出处理类 .and().exceptionHandling().accessDeniedHandler(userAccessDeniedHandler)// 配置没有权限处理类 .and().cors()// 开启跨域 .and().csrf().disable(); // 禁用跨站请求伪造防护 http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); // 禁用session（使用Token认证） http.headers().cacheControl(); // 禁用缓存 http.addFilter(new JWTAuthenticationFilter(authenticationManager())); //// 添加JWT过滤器 } } ` —Reply to this email directly, view it on GitHub, or unsubscribe.Triage notifications on the go with GitHub Mobile for iOS or Android. You are receiving this because you commented.Message ID: ***@***.***> [ { ***@***.***": "http://schema.org", ***@***.***": "EmailMessage", "potentialAction": { ***@***.***": "ViewAction", "target": "#3 (comment)", "url": "#3 (comment)", "name": "View Issue" }, "description": "View this Issue on GitHub", "publisher": { ***@***.***": "Organization", "name": "GitHub", "url": "https://github.com" } } ]