「干货」SpringBoot+SpringSecurity+Jwt权限认证-认证
启动项目时，SpringBoot自动检索所有带@Configuration的注解，所以就将我们的WebSecurityConfig给加载了，这个config中，我们需要在configure（AuthenticationManagerBuilder auth）方法中注册一个继承自UserDetailsService的接口，这个接口中只有一个方法，那就是使用username获取到数据库中用户信息并返回成UserDetail实体。
这个Bean是不必可少的，Spring Security在认证操作时会使用我们定义的这个加密器，如果没有则会出现异常。
该类为token校验器，并封装了用户权限，保存至security上下文中 首先SysUserController中有三个测试接口，第一个接口认证后即可访问，第二个接口需要登录的用户拥有ROLE_ADMIN角色，第三个接口需要用户拥有ROLE_USER角色。
在securiy的过滤器中 OAuth2AuthenticationProcessingFilter 会从token中获取相关信息进行鉴权 源码：注意，资源服务器主要配置在 ResourceServerConfigurerAdapter 微服务获取jwttoken中的用户信息，两种方式，使用security上下文可以直接获取当前用户名和权限，另一种自定义拦截器获取额外信息。
真牛掰!阿里人用5个案例就彻底讲清了SpringSecurity安全框架
1、使用安全框架，使开发团队能够选择最适合这些需求的框架，可以通过配置的方式实现对资源的访问限制，使得开发更加的高效。
SpringSecurity+JWT认证流程解析
这个Bean是不必可少的，Spring Security在认证操作时会使用我们定义的这个加密器，如果没有则会出现异常。
有了以上的一些基础了解后，我们来顺着源码流程走一边，理清整个认证的流程。基于formLogin的流程分析，SpringSecurity默认也是formLogin。
也就是需要我们自己的逻辑让他去触发这个代码的实现。就可以自动完成认证程序了。就会触发使用username获取到数据库用户信息，然后经过密码加密比对之后会将认证结果返回。
首先SysUserController中有三个测试接口，第一个接口认证后即可访问，第二个接口需要登录的用户拥有ROLE_ADMIN角色，第三个接口需要用户拥有ROLE_USER角色。返回了token信息 请求头中带上token，因为security配置类中关闭了session，后续请求必须带上token才能访问。访问成功。
SecurityContextHolder.getContext().getAuthentication()为什...
1、Spring security不完全是依赖HttpSession来保存用户对象，而是放在threadlocal里面的。通过HttpSessionIntegrationFilter，也会同步到HttpSession，在非daoservlet环境，可以直接通过SecurityContextHolder获取，在Serlvet环境，也可以用session.getAttribute（...）得到，那个key。
2、认证管理器在认证时通过user-service把权限信息加载到内存中，修改后可通过SecurityContextHolder.getContext（）.getAuthentication（）和setAuthentication（authentication）访问权限。
3、可以说是SecurityContext的工具类，用于get or set or clear SecurityContext，默认会把数据都存储到当前线程中。 这几个方法效果如下： Authentication只是定义了一种在SpringSecurity进行认证过的数据的数据形式应该是怎么样的，要有权限，要有密码，要有身份信息，要有额外信息。
SpringSecurity认证流程分析
要想分析SpringSecurity的认证流程，就一定要先了解整个SpringSecurity的工作流程，我们才能最终进行一些自定义操作。Spring Security的web基础是Filters（过滤器） ，它是通过一层层的Filters来对web请求做处理的，每一个web请求会经过一条过滤器链，在这个过程中完成认证与授权。
这个Bean是不必可少的，Spring Security在认证操作时会使用我们定义的这个加密器，如果没有则会出现异常。
.端点（endpoints）的授权url： 要授权认证，肯定得由url请求，才可以传输。因此OAuth2提供了配置授权端点的URL。
实现 AccessDecisionManager 的 decide 方法来实现授权 到此位置 authentication 当前用户信息，fl当前访问的 资源路径及attributes当前资源路径的决策 （即是否需要认证）。
好，到这边准备工作做完了，我们再回过头看service层。根据userId生成token，然后把用户信息存入redis，而前端ajax请求的结果里则包含了token值。接下来定义token验证过滤器，这样子的话，如果前端发的请求是需要验证身份的，那就会走这个过滤器的校验流程。
若token验证成功，则认证服务器向资源服务器返回对应的用户信息，此时resource server的spring security安全框架就可以按照标准的授权流程进行访问权限控制了。 从这个流程中我们可以看出，通过OAuth2进行SSO认证，有一个好处是做到了 认证与授权的解耦 。
登录一定要用springsecurity吗
1、要用。该登录是一定要用该软件的，因为可以安全保护客户信息。SpringSecurity是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。
2、需要。SpringSecurity集成oauth2做登录授权，可以用于app登录和第三方登录，也可以实现cas的功能。SpringSecurity是一个功能强大且高度可定制的身份验证和访问控制框架。它是用于保护基于Spring的应用程序的实际标准。
3、如果开发的项目是Spring这一套，用Spring Security我觉得更合适一些，他们本身就是一套东西，顺畅，可能略微复杂一些，但是学会了就是自己的。如果开发项目比较紧张，Shiro可能更合适，容易上手，也足够用，Spring Security中有的，Shiro也基本都有，没有的部分网上也有大批的解决方案。
4、通过 JWT 配合 Spring Security OAuth2 使用的方式，可以避免 每次请求 都 远程调度 认证授权服务。 资源服务器 只需要从 授权服务器 验证一次，返回 JWT。返回的 JWT 包含了 用户 的所有信息，包括 权限信息 。
标签： #springsecurity的作用
