Security-概述(1)

1.jwt，spring security，oauth2.0，shiro区别

jwt：是一个鉴权生成加密token的一个名称。

Spring security：权限框架，基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架；可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI。

Shiro：权限框架，可在C/S下运行。 shiro是一套权限管理框架，包括认证、授权等，在使用时直接写相应的接口（小而简单的Shiro就足够）。Shiro 默认是使用Session认证。

oauth2.0 :一种权限实现标准，是一种安全的授权框架，提供了一套详细的授权机制。用户或应用可以通过公开的或私有的设置，授权第三方应用访问特定资源。（如果不介意API的使用依赖于外部的第三方认证提供者，你可以简单地把认证工作留给认证服务商去做。）

2.HttpSecurity常用方法

 @Override
    public void configure(HttpSecurity http) throws Exception {
        //忽略hello post接口(post请求不忽略会报错)
        http.csrf().ignoringAntMatchers("/hellopost");

        http.authorizeRequests()
                .antMatchers("/hello", "/hellopost").permitAll()
                .anyRequest().authenticated()
                .antMatchers("/hello2").hasRole("administrator")
                .and().formLogin().and().httpBasic();

    }

    //配置密码：方式1
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
        String password = passwordEncoder.encode("111111");
        auth.inMemoryAuthentication().withUser("user").password(password).roles("administrator");
    }

3.requestMatchers()方法与authorizeRequests()区别

        requestMatchers()配置的是哪些url进行安全控制，authorizeRequests()配置的是如何进行控制

例如： requestMatchers().anyRequest()=http.authorizeRequests().anyRequest().access(“permitAll”)=http.authorizeRequests().anyRequest().permitAll()；

http.authorizeRequests().anyRequest().authenticated(） =  http.authorizeRequests().antMatchers("/").authenticated() ;

4.ResourceServerConfigurerAdapter， WebSecurityConfigurerAdapter，AuthorizationServerConfigurerAdapter

 1.ResourceServerConfigurerAdapter：

        ResourceServerConfigurerAdapter是用于spring-security-oauth2， 配置哪些url要进行oauth2认证。

  2.WebSecurityConfigurerAdapter：

        WebSecurityConfigurerAdapter是用于当前这个项目本身的访问控制，它属于spring-security-config。

3.AuthorizationServerConfigurerAdapter：

        AuthorizationServerConfigurerAdapter用于oauth2下配置认证服务器。

  总结：

• ResourceServerConfigurerAdapter与WebSecurityConfigurerAdapter都有一个相同的方法，配置url的访问安全控制策略：如果在这个方法中配置了相同的url访问控制，会发现ResourceServerConfigurerAdapter配置控制策略生效，而WebSecurityConfigurerAdapter配置的策略不起作用。是因为ResourceServerConfigurerAdapter的order值小，优先级高。所以ResourceServerConfigurerAdapter起作用。
• WebSecurityConfigurerAdapter在springboot 2.7之后就开始过时了，需要使用SecurityFilterChain进行配置。 

5.permitAll和webIgnore

permitAll配置

public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/css/**", "/js/**","/fonts/**").permitAll()
                .anyRequest().authenticated();
    }
}

web.ignore配置

public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/css/**");
        web.ignoring().antMatchers("/js/**");
        web.ignoring().antMatchers("/fonts/**");
    }
}

5.1 区别

WebSecurity主要是配置跟web资源相关的，比如css、js、images等等，但是这个还不是本质的区别，关键的区别如下：

• ingore是完全绕过了spring security的所有filter，相当于不走spring security
• permitall没有绕过spring security，其中包含了登录的以及匿名的。

参考：

Spring Security中HttpSecurity常用方法及说明_wh柒八九的博客-CSDN博客_httpsecurity

HttpSecurity常用方法详解_糊口度日的小白的博客-CSDN博客_httpsecurity

requestMatchers()方法与authorizeRequests()区别，ResourceServerConfigurerAdapter与WebSecurityConfigurerAdapt_join_null的博客-CSDN博客