如何实现基于数据库的自定义用户认证与授权

题目

如何实现基于数据库的自定义用户认证与授权

信息

• 类型：问答
• 难度：⭐⭐

考点

UserDetailsService实现,密码加密,角色权限配置,安全配置

快速回答

实现自定义认证授权需要以下步骤：

1. 创建用户实体类实现UserDetails接口
2. 实现UserDetailsService从数据库加载用户
3. 配置PasswordEncoder进行密码加密
4. 在安全配置中注册自定义服务
5. 使用@PreAuthorize进行方法级授权

在Spring Security中实现自定义数据库认证授权是常见需求，下面详细说明实现步骤和原理：

1. 核心组件

• UserDetails：用户信息核心接口，包含用户名、密码、权限等
• UserDetailsService：加载用户数据的核心接口
• PasswordEncoder：密码加密解密的策略接口
• GrantedAuthority：用户权限的抽象表示

2. 实现步骤

(1) 用户实体实现UserDetails

@Entity
public class User implements UserDetails {
    @Id
    private Long id;
    private String username;
    private String password;
    @ManyToMany(fetch = FetchType.EAGER)
    private Set<Role> roles;

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return roles.stream()
            .map(role -> new SimpleGrantedAuthority(role.getName()))
            .collect(Collectors.toList());
    }

    // 实现其他方法：isAccountNonExpired等
}

(2) 实现UserDetailsService

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) {
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("用户不存在"));

        // 检查账户状态（是否锁定/过期等）
        if (!user.isEnabled()) {
            throw new DisabledException("账户已禁用");
        }
        return user;
    }
}

(3) 配置密码编码器

@Bean
public PasswordEncoder passwordEncoder() {
    // 推荐使用BCrypt强哈希算法
    return new BCryptPasswordEncoder(12);
}

// 用户注册时加密密码
public void registerUser(User user) {
    user.setPassword(passwordEncoder.encode(user.getPassword()));
    userRepository.save(user);
}

(4) 安全配置类

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
            .and()
            .logout()
                .permitAll();
    }
}

(5) 方法级权限控制

@Service
public class ProductService {

    @PreAuthorize("hasRole('ADMIN') or #userId == authentication.principal.id")
    public void deleteProduct(Long productId, Long userId) {
        // 删除商品逻辑
    }
}

3. 最佳实践

• 使用BCryptPasswordEncoder而非已弃用的SHA/MD5加密
• 权限命名使用ROLE_前缀（如ROLE_ADMIN）
• 敏感接口添加@PreAuthorize注解进行二次验证
• 生产环境开启CSRF保护
• 使用HTTPS传输敏感数据

4. 常见错误

• 未实现UserDetails接口的账户状态方法（默认返回true）
• 角色名称未添加ROLE_前缀导致授权失败
• 密码未加密存储或使用弱加密算法
• 权限配置顺序错误（具体路径应配置在通用路径之前）
• 忘记在配置类添加@EnableGlobalMethodSecurity

5. 扩展知识

• OAuth2集成：使用@EnableOAuth2Client集成第三方登录
• JWT支持：结合JJWT库实现无状态认证
• LDAP认证：通过LdapAuthenticationProvider集成企业目录服务
• 多因素认证(MFA)：结合TOTP实现双因素验证
• 响应式支持：Spring Security 5+的WebFlux集成方案