springboot所有的配置是無xml的，用webinitlizer繼承

AbstractAnnotationConfigDispatcherServletInitializer

配置攔截器等

在實現類中getServletFilters

DelegatingFilterProxy securityFilterChain = new DelegatingFilterProxy("springSecurityFilterChain");

return new Filter[] {characterEncodingFilter, securityFilterChain};

就可以開啟攔截了

在實現類中

@Override
protected Class<?>[] getRootConfigClasses() {
    return new Class<?>[]{RootConfig.class,SecurityConfig.class};
}

就可以註冊一個攔截相關的實現類實現auto認證與http認證啦！！！

===================================ruo======================================

以下為我遇到的錯誤資訊

1.csrfException，場景，因為我是通過webservice呼叫的 屬於無狀態請求，所以需要在securityConfig裡設定.and().csrf().disable()禁用即可

2.AccessDeniedException: Access is denied

這個是指我沒有訪問這個url地址的許可權

3.

loadUserByUsername(String username)

soa架構下萬年獲取不到username的問題，這個教科書和百度上並沒有具體的告訴我

.formLogin()
.loginPage("/login")
.loginProcessingUrl("/loginProcessing")

4.InternalAuthenticationService

UserAccountEntity類實現spring的 org.springframework.security.core.userdetails.UserDetails實現equals與hashCode方法

@Override
public boolean equals(Object rhs) {
    if (!(rhs instanceof User) || (rhs == null)) {
        return false;
}
    User user = (User) rhs;
    return (this.getPassword().equals(user.getPassword()) && this.getUsername().equals(user.getUsername())
            && (this.isAccountNonExpired() == user.isAccountNonExpired())
            && (this.isAccountNonLocked() == user.isAccountNonLocked())
            && (this.isCredentialsNonExpired() == user.isCredentialsNonExpired())
            && (this.isEnabled() == user.isEnabled()));
}

@Override
public int hashCode() {
    int code = 9792;
    for (GrantedAuthority authority : getAuthorities()) {
        code = code * (authority.hashCode() % 7);
}

    if (this.getPassword() != null) {
        code = code * (this.getPassword().hashCode() % 7);
}

    if (this.getUsername() != null) {
        code = code * (this.getUsername().hashCode() % 7);
}

    if (this.isAccountNonExpired()) {
        code = code * -2;
}

    if (this.isAccountNonLocked()) {
        code = code * -3;
}

    if (this.isCredentialsNonExpired()) {
        code = code * -5;
}

    if (this.isEnabled()) {
        code = code * -7;
}

    return code;
}

5.客戶端請求這個，不要去請求login這個地址

org.springframework.security.authentication.BadCredentialsException: Bad credentials

DaoAuthenticationProvider

if(!this.passwordEncoder.isPasswordValid(userDetails.getPassword(), presentedPassword, salt)) {

這是由於我密碼配置錯誤導致的，讓我們加到config auth這個方法

auth.userDetailsService(spitterUserService).passwordEncoder(new BCryptPasswordEncoder());

改成

auth.userDetailsService(spitterUserService).passwordEncoder(new Md5PasswordEncoder());

即可

6.問：如果不讓springboot重定向 並且返回json

答：這個問題問的好，這是人唯一沒有參照網上資料自己根據意思研發出來的

在SecurityConfig 中

.and()
    .formLogin()
    .loginPage("/login")
    .loginProcessingUrl("/loginProcessing")
    .successHandler(new AuthSeuccessHandlerController())

配置

public class AuthSeuccessHandlerController extends BaseController implements AuthenticationSuccessHandler

在 onAuthenticationSuccess 實現方法中 authentication 引數就有你的使用者資訊了 你不必要再去資料庫查一遍了

通過reponse就可以返回json了 你可以隨便折騰

配置了successHandler他就不會再重寫向到專案+/了

=======================================ruo=========================================

第二部分 資源認證

當我不是用AOP架構進行認證時 就沒有第二部分了

當spring security認證通過後會通過SecurityContextHolder儲存在上下文之中

那麼我的AOP如何才能與Authentication 進行匹配呢？答案是不可能除非重寫一大堆filter

我採用的是token進行傳輸

我重寫了restTemplate工具類 多封裝了token進去了

接下來是重點：

.authorizeRequests()
                .withObjectPostProcessor(new ObjectPostProcessor<FilterSecurityInterceptor>() {

                    @Override
public <O extends FilterSecurityInterceptor> O postProcess(O fsi) {
                        fsi.setAccessDecisionManager(new AccessDecisionManagerImpl(userAccountRepository));
/*fsi.setAuthenticationManager(authenticationManagerBean());*/
return fsi;
}
                })
//                .expressionHandler(new AbstractAuthenticationProcessingFilter())
.antMatchers("/").permitAll()
                    .antMatchers("/menu/root").access("ROLE_ADMIN")

這是我的認證核心，重寫了FilterSecurityInterceptor，我是沒有辦法，因為無論是GET 還是 POST還是其它請求都無法通過UsernamePasswordAuthenticationFilter 如果未通過 那麼security會新增一個認證 那就是AnonymousAuthenticationFilter那麼Authentication 就是匿名使用者了，迴歸正題：我們用一個類實現AccessDecisionManager 重寫decide，方法中有如下引數

Authentication authentication, Object o, Collection<ConfigAttribute> configAttributes

authentication就是認證資訊， 這個咱們不用管，基本就是匿名認證使用者，因為這是aop架構，o就是咱們的請求url,configAttribute就是角色資訊，請參照SecurityConfig裡的配置，如果我要攔截哪個路徑並且只允許哪個角色訪問那麼這個類就包含了這些角色資訊。

而為什麼需要token 我們是需要往資料庫裡面查一遍user並且與這個configAttributes進行認證匹配的，如果匹配成功就reutrn;不成功就丟擲異常。