仅带有 JDBC 注释的 Spring Security答案

【问题标题】：Spring Security with JDBC Annotation only仅带有 JDBC 注释的 Spring Security
【发布时间】：2015-05-06 21:37:31
【问题描述】：

我正在尝试使用 Spring Security 创建一个 Spring Boot 应用程序。我从http://spring.io/guides/gs/securing-web/ 中获取了以下示例。他们使用“内存认证”。我也想做同样的事情，但使用 JDBC-Authentification。

这是我的 WebSecurityConfig 类：

package hello;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.jdbc.datasource.DriverManagerDataSource;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.annotation.web.servlet.configuration.EnableWebMvcSecurity;

@Configuration
@EnableWebMvcSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {

        DriverManagerDataSource dataSource = new DriverManagerDataSource();
        dataSource.setDriverClassName("com.mysql.jdbc.Driver");
        dataSource.setUrl("jdbc:mysql://localhost:3306/test");
        dataSource.setUsername("root");
        dataSource.setPassword("root");

        auth
            .jdbcAuthentication().dataSource(dataSource)
                .usersByUsernameQuery("select * from users where username=?")
                .authoritiesByUsernameQuery("select * from user_roles where username=?");
    }
}

我还设置了一个 MySQL 数据库 "test" 和两个表 "users" 和 "user_roles"。当我运行应用程序并尝试登录时，我没有收到任何异常，但应用程序不知何故找不到用户。

有人可以帮助我吗？我做错了什么？

登录页面：

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Spring Security Example </title>
    </head>
    <body>
        <div th:if="${param.error}">
            Invalid username and password.
        </div>
        <div th:if="${param.logout}">
            You have been logged out.
        </div>
        <form th:action="@{/login}" method="post">
            <div><label> User Name : <input type="text" name="username"/> </label></div>
            <div><label> Password: <input type="password" name="password"/> </label></div>
            <div><input type="submit" value="Sign In"/></div>
        </form>
    </body>
</html>

pom.xml：

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>org.springframework</groupId>
    <artifactId>gs-securing-web</artifactId>
    <version>0.1.0</version>

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>1.2.2.RELEASE</version>
    </parent>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
        <!-- tag::security[] -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <!-- end::security[] -->

        <!-- JDBC -->
        <dependency>
            <groupId>org.springframework</groupId>
            <artifactId>spring-jdbc</artifactId>
            <version>3.2.8.RELEASE</version>
        </dependency>

        <!-- MySQL -->
        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
        </dependency>
    </dependencies>


    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

</project>

【问题讨论】：

对于初学者，您的查询是错误的，用户的一列必须返回 3 列（用户名、密码和启用），权限的一列必须返回 2（用户名、角色）。现在它会返回你放在那里的任何东西。另外，为什么您的依赖项中有 spring-jdbc 版本 3.2.8？您现在正在混合 spring 版本，只需添加 spring-boot-starter-jdbc 即可获得您需要的依赖项（或至少删除版本标签）。

标签： spring security model-view-controller jdbc spring-boot

【解决方案1】：

您的用户必须至少分配一个角色。如果用户没有角色，则身份验证失败（即使您希望能够在没有任何特定角色的情况下登录）。还要确保用户的enabled 标志为真。

【讨论】：

【解决方案2】：

建议你的Datasource作为一个单独的Bean来解决，而不是在你的configureGlobal方法中实例化它：

@Bean
public DataSource dataSource() {
    // create and return a new JDBC DataSource ...
}

您可以像在 configureGlobal 方法中一样使用 Bean：

auth.jdbcAuthentication().dataSource(dataSource)

【讨论】：

什么是比你的 Stacktrace 例如。日志说什么？