本文主要是介绍SpringSecurity扩展用户身份信息(UserDetails)的方式,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!
扩展用户身份信息的方式(UserDetails)
用户表中除了存储用户的账号密码还有其他信息,但是UserDetails
接口中只有username、password
字段,这样JWT令牌中也只会写入用户的账号和密码信息
- 在认证阶段
DaoAuthenticationProvider
会调用我们自定义的UserDetailsService
接口实现类的loadUserByUsername()
方法查询数据库表中用户全部的信息,但是UserDetails
中只能存储账号和密码
public interface UserDetails extends Serializable {Collection<? extends GrantedAuthority> getAuthorities();String getPassword();String getUsername();boolean isAccountNonExpired();boolean isAccountNonLocked();boolean isCredentialsNonExpired();boolean isEnabled();
}
由于JWT令牌中用户身份信息来源于UserDetails
, 所以我们只能把UserDetails中包含的用户信息写入JWT令牌中,想要扩展用户的身份信息有两种方式
修改源码
: 对框架提供的UserDetails的属性进行扩展,使之包括更多的自定义属性存储Json(推荐)
: 我们还可以将用户的全部信息转为Json数据存储到UserDetails的username属性(需要脱敏)
,并不一定要只存储用户账号
@Service
public class UserDetailsImpl implements UserDetailsService {@AutowiredXcUserMapper xcUserMapper;/**** @param name 用户输入的登录账号* @return UserDetails* @throws UsernameNotFoundException*/@Overridepublic UserDetails loadUserByUsername(String name) throws UsernameNotFoundException {// 根据username去XcUser表中查询对应的用户信息XcUser user = xcUserMapper.selectOne(new LambdaQueryWrapper<XcUser>().eq(XcUser::getUsername, name));// 返回NULL表示用户不存在,SpringSecurity会帮我们处理即抛出异常表示用户不存在if (user == null) {return null;}// 设置用户权限// String[] authorities= {"test"};// 如果存在取出数据库中用户的密码String password = user.getPassword();// 将查询到的用户信息映射的XcUser对象转为Json,注意对用户的敏感信息要进行脱敏user.setPassword(null);String userString = JSON.toJSONString(user);// 将用户名和密码以及用户权限(权限必须要设置)封装成一个UserDetails对象,然后返回即可return User.withUsername(userString).password(password).authorities("test").build();}
}
重启认证服务,使用密码模式重新获取令牌
// 密码模式
POST localhost:53070/auth/oauth/token?client_id=XcWebApp&client_secret=XcWebApp&grant_type=password&username=yunqing&password=111111
访问校验接口
查看JWT令牌中的内容,此时令牌的user_name
属性中包含了查询到的用户全部信息(密码为null)
// 访问校验接口
POST localhost:53070/auth/oauth/check_token?token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.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._GKfGE2s5k0n6VC4_RKQrzdzydWY-WtX3Q_Hc4DxQ1g{"aud": ["xuecheng-plus"],"user_name": "{\"companyId\":\"1232141425\",\"createTime\":\"2022-09-28T08:32:03\",\"id\":\"52\",\"name\":\"Kiki\",\"password\":\"$2a$10$0pt7WlfTbnPDTcWtp/.2Mu5CTXvohnNQhR628qq4RoKSc0dGAdEgm\",\"sex\":\"1\",\"status\":\"\",\"username\":\"Kyle\",\"utype\":\"101002\"}","scope": ["all"],"active": true,"exp": 1678452354,"authorities": ["test"],"jti": "76074028-0b3c-4482-a7f4-75427e0691c1","client_id": "XcWebApp"
}
资源服务获取用户身份信息
测试
新建一个controller获取当前登录用户信息
Principal
定义认证的而用户,如果用户使用用户名和密码方式登录,principal通常就是一个UserDetails
Authentication
接口继承自Principal
@RestController
public class CurrentLoginUserInfoController {/*** 从当前请求对象中获取*/@GetMapping("/getLoginUserInfo")public Principal getLoginUserInfo(Principal principle){return principle;}/***从当前请求对象中获取*/@GetMapping("/getLoginUserInfo1")public Authentication getLoginUserInfo1(Authentication authentication){return authentication;}/*** 从SecurityContextHolder获取* @return*/@GetMapping("/getLoginUserInfo2")public Authentication getLoginUserInfo(){Authentication authentication = SecurityContextHolder.getContext().getAuthentication();return authentication;}
}
{// 用户被授予的权限信息。 "authorities": [{"authority": "ROLE_teacher"}],"details": {"remoteAddress": "0:0:0:0:0:0:0:1","sessionId": "34E452050095348E6306CF95B2025CD9"},"authenticated": true,"principal": {"password": null,"username": "thomas","authorities": [{"authority": "ROLE_teacher"}],"accountNonExpired": true,"accountNonLocked": true,"credentialsNonExpired": true,"enabled": true},// 登录凭证一般就是指密码,当用户登录成功之后,登录凭证会被自动擦除以防泄露 "credentials": null,"name": "thomas"
}
封装工具类
现在认证服务生成JWT令牌的user_name
属性已经存储用户JSON格式的信息,在资源服务中就可以取出该JSON格式的内容转换为用户对象去使用
第一步: 在content-api
工程中写一个工具类SecurityUtil
用来在各个微服务中获取到当前登录用户信息的对象
@Slf4j
public class SecurityUtil {public static XcUser getUser() {try {// 通过SecurityContextHolder获取user_name属性的值即包含用户信息的Json字符串Object principal = SecurityContextHolder.getContext().getAuthentication().getPrincipal();if (principal instanceof String) {// 将包含用户信息的Json字符串转换为XcUser对象String userJson = principal.toString();XcUser xcUser = JSON.parseObject(userJson, XcUser.class);return xcUser;}} catch (Exception e) {log.error("获取当前登录用户身份信息出错:{}", e.getMessage());e.printStackTrace();}return null;}// 这里使用内部类是为了不让content工程去依赖auth工程@Datapublic static class XcUser implements Serializable {private static final long serialVersionUID = 1L;private String id;private String username;private String password;private String salt;private String name;private String nickname;private String wxUnionid;private String companyId;/*** 头像*/private String userpic;private String utype;private LocalDateTime birthday;private String sex;private String email;private String cellphone;private String qq;/*** 用户状态*/private String status;private LocalDateTime createTime;private LocalDateTime updateTime;}
}
第二步: 在内容管理服务中的查询课程信息接口
中使用工具类获取当前登陆的用户信息
@ApiOperation("根据课程id查询课程基础信息")
@GetMapping("/course/{courseId}")
public CourseBaseInfoDto getCourseBaseById(@PathVariable Long courseId) {SecurityUtil.XcUser user = SecurityUtil.getUser();System.out.println("当前用户身份为:" + user);return courseBaseInfoService.getCourseBaseInfo(courseId);
}
第三步: 启动认证服务、网关、内容管理服务
, 首先访问认证服务生成令牌,然后携带生成的令牌访问内容管理服务的查询课程接口,最后在控制台中查看登陆的用户信息
当前用户身份为:SecurityUtil.XcUser(id=52, username=Kyle, password=null, salt=null, name=Kiki, nickname=null, wxUnionid=null, companyId=1232141425, userpic=null, utype=101002, birthday=null, sex=1, email=null, cellphone=null, qq=null, status=, createTime=2022-09-28T08:32:03, updateTime=null)
这篇关于SpringSecurity扩展用户身份信息(UserDetails)的方式的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!