搜尋澳門生活誌

Spring Boot 05 - 為 http json api 加入登入要求

MacauYeah・2024-07-02

本節，我們將為之前的http服務，加入認證機制，只有在資料庫現存的用戶可以登入及訪問我們的json api。下戴模版慣例，我們用Spring Initializr Maven 下載模版，Dependency主要選擇 Spring Web Spring Boot DevTools Spring Security Controller 跟上節一樣，我們起一個Controller，為簡化測試，我們只做http GET api。由於本blog對於Source Code的顯示不太友好，有需要看source code的，請到Github查看 srcmainjavaiogithubmacauyeahspringboottutorialspringbootwebapidatacontrollerHomeController.java import org.springframework.web.bind.annotation.GetMapping; import org.springframework.web.bind.annotation.PathVariable; import org.springframework.web.bind.annotation.RequestMapping; import org.springframework.web.bind.annotation.RestController; @RestController @RequestMappingquot;apiquot; public class HomeController @GetMappingquot;someRecorduuidquot; public Map readSomeRecord@PathVariable String uuid return Map.ofquot;retquot;, quot;your uuidquot; uuid; 準備我們的test case，但這次我們預期它應該要出現登入失敗的結果。 srctestjavaiogithubmacauyeahspringboottutorialspringbootwebapidatacontrollerHomeControllerTest.java @SpringBootTest @AutoConfigureMockMvc public class HomeControllerTest @Autowired private MockMvc mockMvc; @Test void testNoLogin throws Exception RequestBuilder requestBuilder = MockMvcRequestBuilders.getquot;apisomeRecord1234quot; .contentTypeMediaType.APPLICATION_JSON; this.mockMvc.performrequestBuilder .andExpectMockMvcResultMatchers.status.is4xxClientError .andExpectMockMvcResultMatchers.jsonPathquot;$.retquot;.doesNotExist .andDoMockMvcResultHandlers.print; 在我們執行上述的測試，test case 成功過了。我們的基本設定跟上一節其實沒有多大改動，為何現在http api會回傳狀態 401？那是因為我們在依賴中加了，Spring Security，它配合了Spring Web，就會自動為所有api加入權限檢測。我們的測試中，沒有任何用戶登入，當然會出現 http 401。為了讓我們可以好好管理誰可以使用api，我們就來設定一定Security。我們加一個WebSecurityConfig.java，暫時指定所有的訪問路徑都必需有USER權限，並且用 http basic的方式登入。 srcmainjavaiogithubmacauyeahspringboottutorialspringbootwebapidataconfigWebSecurityConfig.java import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.Customizer; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.web.SecurityFilterChain; @Configuration @EnableWebSecurity public class WebSecurityConfig @Bean SecurityFilterChain securityFilterChainHttpSecurity http throws Exception http.authorizeHttpRequestsauthorizeHttpRequests gt; authorizeHttpRequests.requestMatchersquot;quot;.hasRolequot;USERquot;; 所有的訪問路徑都必需有USER權限 ; http.httpBasicCustomizer.withDefaults; 使用http basic作為登入認證的方式 return http.build; 上述例子，只是擋了沒有權限的人，我們還需要讓有登入身份的用戶可以成得取限User權限。我們繼續修改，WebSecurityConfig，加入只在記憶體有效的InMemoryUser import org.springframework.security.core.userdetails.User; import org.springframework.security.core.userdetails.UserDetails; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.provisioning.InMemoryUserDetailsManager; public class WebSecurityConfig .. @Bean public PasswordEncoder passwordEncoder return new BCryptPasswordEncoder; 我們的密碼不應該明文儲，比較保險，我們使用BCrypt演算法，為密碼做單向加密。 @Bean public UserDetailsService userDetailsService UserDetails user = User.withUsernamequot;adminquot; .passwordpasswordEncoder.encodequot;passquot; .rolesquot;USERquot;.build; 我們在記憶中體，加入一個測試用的User，它的名字為admin，密碼為pass，權限為User return new InMemoryUserDetailsManageruser; 然後加入新的測試，直接模擬Role。結果是通過的。 srctestjavaiogithubmacauyeahspringboottutorialspringbootwebapidatacontrollerHomeControllerTest.java @Test void testLoginWithRoles throws Exception RequestBuilder requestBuilder = MockMvcRequestBuilders.getquot;apisomeRecord1234quot; .contentTypeMediaType.APPLICATION_JSON.with SecurityMockMvcRequestPostProcessors.userquot;someonequot; .rolesquot;USERquot;, quot;ADMINquot;; 沒有使用密碼，只使用Role this.mockMvc.performrequestBuilder .andExpectMockMvcResultMatchers.status.is2xxSuccessful .andExpectMockMvcResultMatchers.jsonPathquot;$.retquot;.valuequot;your uuid1234quot; .andDoMockMvcResultHandlers.print; 再來一個測試，改用密碼登入，分別輸入錯的和正確的密碼。 @Test void testLoginWithWrongPasswordAndNoRole throws Exception RequestBuilder requestBuilder = MockMvcRequestBuilders.getquot;apisomeRecord1234quot; .headerquot;Authorizationquot;, quot;Basic randompassquot; 輸入錯的密碼，應該回傳http 401 Unauthorized .contentTypeMediaType.APPLICATION_JSON; this.mockMvc.performrequestBuilder .andExpectMockMvcResultMatchers.status.is4xxClientError .andDoMockMvcResultHandlers.print; @Test void testLoginWithPassword throws Exception RequestBuilder requestBuilder = MockMvcRequestBuilders.getquot;apisomeRecord1234quot; .headerquot;Authorizationquot;, quot;Basic YWRtaW46cGFzcw==quot; http basic 就是把 adminpass 轉成base64 .contentTypeMediaType.APPLICATION_JSON; this.mockMvc.performrequestBuilder .andExpectMockMvcResultMatchers.status.is2xxSuccessful .andExpectMockMvcResultMatchers.jsonPathquot;$.retquot;.valuequot;your uuid1234quot; .andDoMockMvcResultHandlers.print; 最後，當然是正確的密碼才能通過。若果大家還是半信半疑，我們可以跑起真的正服務（IDE RUN或mvn springbootrun），然後用curl去試。 curl httplocalhost8080apisomeRecord1234 failed with 401 curl u quot;adminpassquot; httplocalhost8080apisomeRecord1234 successed 使用SQL Database讀取用戶登入資訊一般而言，我們不可能把所有用戶登資訊打在InMemoryUser中，通常背後有一個資料庫儲存所有的用戶資訊，我們在登入時，讀取它來做對比檢證。為此，我們在maven中，加入 Spring Data JPA h2 database （或任何你的資料庫，如mysql 、 sql server）最後一步，我們把InMemoryUser去掉，改為從資料庫讀取。因為原始碼太多，就不全部貼上。最主要的是WebSecurityConfig.java要關掉之前的UserDetailsService，改為提供一個UserServiceImpl類，它會實現UserDetailsService的功能。 @Configuration @EnableWebSecurity public class WebSecurityConfig 把原來的Bean先變成註解，其他不變 @Bean public UserDetailsService userDetailsService UserDetails user = User.withUsernamequot;adminquot; .passwordpasswordEncoder.encodequot;passquot; .rolesquot;USERquot;.build; return new InMemoryUserDetailsManageruser; springboottutorialspringbootwebapidatasrcmainjavaiogithubmacauyeahspringboottutorialspringbootwebapidataconfigUserServiceImpl.java other import import org.springframework.security.core.authority.SimpleGrantedAuthority; import org.springframework.security.core.userdetails.User; import org.springframework.security.core.userdetails.UserDetails; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.core.userdetails.UsernameNotFoundException; import org.springframework.security.crypto.password.PasswordEncoder; @Service public class UserServiceImpl implements UserDetailsService @Autowired PasswordEncoder passwordEncoder; @Autowired UserRepo userRepo; @Override public UserDetails loadUserByUsernameString username throws UsernameNotFoundException 因為我們資料庫沒有資料，為了方便測試密碼的加密，我們在java code上直接插入一筆資料。 UserEntity defaultUser = new UserEntity; defaultUser.setUsernamequot;adminquot;; defaultUser.setPasswordpasswordEncoder.encodequot;passquot;; defaultUser.setRolequot;USERquot;; defaultUser.setUuidUUID.randomUUID.toString; userRepo.savedefaultUser; 上述為測試用插入資料，不應該出現在正式使用環境中。 UserEntity user = userRepo.findOneByUsernameusername .orElseThrow gt; new UsernameNotFoundExceptionusername quot; not foundquot;; 找找資料庫有沒有正在登入的該名使用者username List authorities = List.ofnew SimpleGrantedAuthorityquot;ROLE_quot; user.getRole; LOG.debugquot;got user uuid, username, role from databasequot;, user.getUuid, username, user.getRole; 如果前面的 findOneByUsername 有結果回傳，我們就給它一個ROLE_XXX的權限。 return new Userusername, user.getPassword, authorities; 這裏從沒有檢查過密碼是否有匹配，全部交給Spring Security去做 springboottutorialspringbootwebapidatasrcmainjavaiogithubmacauyeahspringboottutorialspringbootwebapidataentityUserEntity.java springboottutorialspringbootwebapidatasrcmainjavaiogithubmacauyeahspringboottutorialspringbootwebapidatarepoUserRepo.java 上述段落中，筆者省略了UserEntity和UserRepo，它們只是一般的springdatajpa概念，有需要可以經文末的連結查看完全原始碼。最需要注意的，是UserEntity的password欄位，在資料庫中是以加密的方式儲存。我們在配匹登入者與資料庫記錄時，也沒有自行檢驗密碼的需要。我們只是在加密過的密碼回傳給Spring Security，Spring框架會自行把登入者輸入的密碼與加密了的密碼作比較。

搜尋結果

【日本。九州自駕】宮崎青島神社 + 鬼の洗濯板 ~ 日本著名姻緣神社&宮崎特色地形一次看完

【捷克。克魯姆洛夫(CK小鎮 / 庫倫洛夫)】※景點※ 古堡塔、克魯姆洛夫城堡 ~ 維持著中世紀風貌的美麗小鎮的夜與日

【出走新加坡】吃了一頓親切美味又愉快的米其林一星餐廳。麗思卡爾頓美年酒店夏苑中餐廳

30秒通關！30+個超抵優惠開搶！「青茂口岸吃喝玩樂攻略」來襲！

【韓國。首爾】※景點※ 江原道草泥馬樂園 Alpaca World 알파카월드 ~ 牽著羊駝去散步萌萌的神獸等著你~ (含交通教學接駁巴士停駛資訊)

出走台北。中正紀念堂捷運站。國家戲劇院戲台茶館

澳門必比登推介出爐！13間平民米芝蓮，最平$30嘆高質美食

【日本。東京】※景點※ 豐洲千客萬來 ~ 晚上東京灣夜景別有一番風味

Spring Boot 05 - 為 http json api 加入登入要求

「澳門銀河」與Tatler Dining 聯合呈獻全亞洲備受矚目的美食盛典Off Menu

一口難忘皮脆肉嫩又多汁的紅燒乳鴿。香港東涌喜來登酒店采悅軒

閒雲騰沖北海濕地公園

好玩推介 | 逛展讀書好時光，喺澳門與展覽來一場春天的約會！

【澳門】嘉賓軒下午茶～藏身在君悅酒店37樓的咖啡酒廊

不負傾城之美。澳門舞台劇。傾城

搜尋結果

【日本。九州自駕】宮崎 青島神社 + 鬼の洗濯板 ~ 日本著名姻緣神社&宮崎特色地形一次看完

【捷克。克魯姆洛夫(CK小鎮 / 庫倫洛夫)】※景點※ 古堡塔、克魯姆洛夫城堡 ~ 維持著中世紀風貌的美麗小鎮的夜與日

【出走新加坡】吃了一頓親切美味又愉快的米其林一星餐廳。麗思卡爾頓美年酒店夏苑中餐廳

30秒通關！30+個超抵優惠開搶！「青茂口岸吃喝玩樂攻略」來襲！

【韓國。首爾】※景點※ 江原道草泥馬樂園 Alpaca World 알파카월드 ~ 牽著羊駝去散步 萌萌的神獸等著你~ (含交通教學 接駁巴士停駛資訊)

出走台北。中正紀念堂捷運站。國家戲劇院戲台茶館

澳門必比登推介出爐！13間平民米芝蓮，最平$30嘆高質美食

【日本。東京】※景點※ 豐洲千客萬來 ~ 晚上東京灣夜景 別有一番風味

Spring Boot 05 - 為 http json api 加入登入要求

「澳門銀河」與Tatler Dining 聯合呈獻全亞洲備受矚目的美食盛典Off Menu

一口難忘皮脆肉嫩又多汁的紅燒乳鴿。香港東涌喜來登酒店采悅軒

閒雲騰沖北海濕地公園

好玩推介 | 逛展讀書好時光，喺澳門與展覽來一場春天的約會！

【澳門】嘉賓軒 下午茶 ～ 藏身在君悅酒店37樓的咖啡酒廊

不負傾城之美。澳門舞台劇。傾城

【日本。九州自駕】宮崎青島神社 + 鬼の洗濯板 ~ 日本著名姻緣神社&宮崎特色地形一次看完

【韓國。首爾】※景點※ 江原道草泥馬樂園 Alpaca World 알파카월드 ~ 牽著羊駝去散步萌萌的神獸等著你~ (含交通教學接駁巴士停駛資訊)

【日本。東京】※景點※ 豐洲千客萬來 ~ 晚上東京灣夜景別有一番風味

【澳門】嘉賓軒下午茶～藏身在君悅酒店37樓的咖啡酒廊