springboot安全框架（我是这样使用SpringBoot（Spring Security实现用户登录））

本文目录

• 我是这样使用SpringBoot（Spring Security实现用户登录）
• springboot框架优点
• 为什么选择Spring Boot作为微服务的入门级微框架
• spring boot的优点
• spring boot jeesite框架技术整理
• 如何构建spring boot

我是这样使用SpringBoot（Spring Security实现用户登录）

大多数项目是需要安全控制的。这章用Spring Security实现用户登录功能。

这章新创建一个模块来开发。 创建模块参考 这里 。模块的ArtifactId为bhuser。
下面先写两个页面，需要在pom.xml文件中引入spring-boot-starter-thymeleaf。文件内容：

既然是安全控制，就需要有控制的点。这里写两个Controller，分别是两个界面。到最后的目标是一个界面不需要登录就可以浏览，一个界面需要用户登录后才能浏览。
在包com.biboheart.demos.controller下创建PageController。内容如下：

在sources/templates中创建两个页面，分别是home.html和hello.html
home.html内容如下：

hello.html内容如下：

启动服务后，访问localhost

点击连接“这里”进入hello页面。

现在是没有权限控制的情况下的结果。下面来增加安全控制，使home页面可以访问，hello页面需要用户登录才能访问。
在pom.xml中引入spring-boot-starter-security组件

这时候启动项目，访问首页就会跳转到登录页面了。

这个登录页面是框架提供的。用户名和密码是框架生成的。这样的用户名密码不可控制。接下增加自己的登录认证业务。
创建包com.biboheart.demos.security，安全控制的业务写在这个包下。创建security配置文件SecurityConfiguration，内容：

注意，Spring Security 5必须配置 passwordEncoder。
重启服务，访问localhost

点击连接“这里”，跳转到了login界面

springboot框架优点

基于springboot和vue框架结构去做系统在经济方面好处是

1、会SpringBoot和Vue是够用的，可以构建各种类型的Web应用程序，为职业生涯带来更多的机会和发展。

2、有效的提升了网站建设的效率，这一点是不容置疑的，框架的特点就是提供了众多的api，功能模块的实现只需要调用起来即可。

3、丰富的工具链为SpringBoot的推广带来了利好。SpringBoot的工具链主要来自于两个方面：1)原有Spring积累的工具链；2)SpringMVC或者其他REST框架使用HTTP协议，使得HTTP丰富的工具成为SpringBoot天然的资源。

4、提供快速开发能力：SpringBoot内置了很多常用的功能，如数据库访问、缓存、安全等，可以让我们快速开发出功能完善的Web应用程序。

5、springboot+vue写一个系统要一个星期左右。用vue重构一个中小型后台管理系统，无论是现在前端还是后端的角度，做一个后台管理系统，开发过程中的代码复用性远远大于开发前台程序，时间在一个星期左右。

为什么选择Spring Boot作为微服务的入门级微框架

1. Spring Boot是什么，解决哪些问题

     1) Spring Boot使编码变简单

     2) Spring Boot使配置变简单

     3) Spring Boot使部署变简单

     4) Spring Boot使监控变简单

     5) Spring Boot的不足

2. Spring Boot在平台中的定位，相关技术如何融合

     1) SpringBoot与SEDA +MicroService + RESTful

     2) SpringBoot与Mock

3. 采用了SpringBoot之后，技术管理应该如何进行

首先，我们来看一下spring boot是什么，它帮助我们解决了哪些问题：

SpringBoot是伴随着Spring4.0诞生的；

从字面理解，Boot是引导的意思，因此SpringBoot帮助开发者快速搭建Spring框架；

SpringBoot帮助开发者快速启动一个Web容器；

SpringBoot继承了原有Spring框架的优秀基因；

SpringBoot简化了使用Spring的过程。

Spring由于其繁琐的配置，一度被人认为“配置地狱”，各种XML、Annotation配置，让人眼花缭乱，而且如果出错了也很难找出原因。

Spring Boot更多的是采用Java Config的方式，对Spring进行配置。

可以看到，采用了spring-boot-start-actuator之后，直接以REST的方式，获取进程的运行期性能参数。

当然这些metrics有些是有敏感数据的，spring-boot-start-actuator为此提供了一些Basic Authentication认证的方案，这些方案在实际应用过程中也是不足的。

Spring Boot作为一个微框架，离微服务的实现还是有距离的。

没有提供相应的服务发现和注册的配套功能，自身的acturator所提供的监控功能，也需要与现有的监控对接。没有配套的安全管控方案，对于REST的落地，还需要自行结合实际进行URI的规范化工作。

下面，我们研究一下Spring Boot在平台中的定位，相关技术如何融合。

上图比较复杂，整体是采用SEDA，也就是Stage-EDA。可以看到，整体是以处理顺序进行展示的，响应过程类似。在处理过程中，主要会有前置过滤，核心功能处理，后置过滤几大部分。

图中的过滤器都是可插拔式的，并且可以根据实际场景进行扩展开发。每个过滤器都是Stage，比如ClientInstance合法性检查、调用鉴权、解密、限流等等。

一个请求Stage与Stage的转换，实现上是切换不同的线程池，并以EDA的方式驱动。

对于业务逻辑的开发者而言，只需要关心CORE部分的业务逻辑实现，其他的非功能都由框架进行统一实现。

Mock不应当再是测试的专有名词了，当然对于测试这个角色而言，mockito这样的工具，依然可以为他们提升不少效率。

SpringBoot为创建REST服务提供了简便的途径，相比之下，采用阿里的dubbo在做多团队、多进程联调时，mock的难度就陡增。

Mock是解耦并行开发的利器，在理性的情况下，软件从开发期Mock联调，到开发与开发的真实联调，只需要切换一个依赖的域名即可，比如：

***隐藏网址***

***隐藏网址***

而上述的域名切换，只需要在开发期定义好一个配置项，在做环境切换的时候自动注入即可，省时、省心、省力。

如上图和docker的集成可以有AB两种方案：

? A方案的核心是，把docker作为操作系统环境的交付基线，也就是不同的fat jar 使用相同的操作系统版本、相同的JVM环境。但对于docker image来说都是一样的。

? B方案的核心是，不同的fat jar，独立的编译为docker image，在启动时直接启动带有特定版本的image。

A相比与B方案的特点是对于docker registry（也就是docker的镜像仓库）的依赖性较低，对于前期编译过程的要求也较低。

采用了Spring Boot之后，技术管理应该如何进行？

正因为Spring Boot是与Spring一脉相承的，所以对于广大的Java开发者而言，对于Spring的学习成本几乎为零。

在实践Spring Boot时学习重点，或者说思维方式改变的重点在于：

1）对于REST的理解，这一点尤为重要，需要从设计、开发多个角色达成共识，很多时候都是对于HTTP 1.1协议以及REST的精髓不理解，导致REST被“盲用”而产生一些不好的效果。

2）对于YAML的理解和对于JavaConfig的理解，这两点相对较为简单，本质上是简化了xml文件，并提供等价的配置表述能力。

1. 丰富的工具链为SpringBoot的推广带来了利好。

2. SpringBoot的工具链主要来自于两个方面：

    1) 原有Spring积累的工具链；

    2) SpringMVC或者其他REST框架使用HTTP协议，使得HTTP丰富的工具成为SpringBoot天然的资源。

SpringBoot自身对于前面提到的配置文件：“application.yml”提供了多个“Profile”，可以便于开发者描述不同环境的配置，这些配置例如数据库的连接地址、用户名和密码。

但是对于企业用户而言，把不同环境的配置，写到同一个配置文件中，是极其不安全的，是一个非常危险的动作。

有一个经常被提及的例子是，随着开源的进行，很多互联网公司，都由于把相关的代码提交到github之类的开源代码社区，并且没有对代码进行严格的配置审查，导致一些”password”被公开。有些不良用心的人，就利用搜索工具，专门去挖掘这些关键字，进而导致数据库被“拖库”。

所以对于企业用户，更多的应该是采用集中式的配置管理系统，将不同环境的配置严格区分地存放。

虽然SpringBoot的actuator自身提供了基于“用户名+口令”的最简单的认证方式，但它保护的是对框架自身运行期的性能指标敏感数据的最基本的保护。这种保护在实际应用过程中，“用户名+口令”的管理是缺乏的，“用户名+口令”的安全配置过程是缺失的。

SpringBoot也不提供对于我们自己开发的功能的任何防护功能。

一般来讲，一个安全的信道（信息传输的通道），需要通信双方在进行正式的信息传输之前对对方进行身份认证，服务提供方还需要在此基础之上，对请求方的请求进行权限的校验，以确保业务安全。这些内容也需要基于SpringBoot进行外围的安全扩展，例如采用前面提到的S-EDA进行进程级别的安全管控。这些还需要配套的安全服务提供支持。

一般来说，只要企业与互联网对接，那么随便一个面向消费者的“市场活动”，就有可能为企业带来井喷的流量。

传统企业内，更多的系统是管理信息类的支撑系统，这类系统在设计时的主要用户是企业内部员工以及有限的外部供应商。这类系统存在于企业内部的时间一直很长，功能耦合也很多，在功能解耦前，是非常不适合的，或者说绝对不可以直接为互联网的用户进行服务的。

SpringBoot自身并没有提供这样的流控措施，所以需要结合前面提到的S-EDA进行流量的控制，并结合下层的水平扩展能力（例如，Kubernets）进行流量负载合理的动态扩容。

另外，在长业务流程的设计上，也尽可能地采用异步的方式，比如接口调用返回的是一个“受理号”，而不是业务的处理结果，避免井喷业务到来时，同步调用所带来的阻塞导致系统迅速崩溃，这些也都是SpringBoot自身并不解决的问题。

下面我们总结一下：

spring boot的优点

①良好的基因
因为SpringBoot是伴随着Spring 4.0而生的，boot是引导的意思，也就是它的作用其实就是在于帮助开发者快速的搭建Spring框架，因此SpringBoot继承了Spring优秀的基因，在Spring中开发更为方便快捷。

②简化编码
，比如我们要创建一个 web 项目，使用 Spring 的朋友都知道，在使用 Spring 的时候，需要在 pom 文件中添加多个依赖，而 Spring Boot 则会帮助开发着快速启动一个 web 容器，在 Spring Boot 中，我们只需要在 pom 文件中添加如下一个 starter-web 依赖即可。
《dependency》
《groupId》org.springframework.boot《/groupId》
《artifactId》spring-boot-starter-web《/artifactId》
《/dependency》
我们点击进入该依赖后可以看到，Spring Boot 这个 starter-web 已经包含了多个依赖，包括之前在 Spring 工程中需要导入的依赖，我们看一下其中的一部分，如下：
《!-- .....省略其他依赖 --》
《dependency》
《groupId》org.springframework《/groupId》
《artifactId》spring-web《/artifactId》
《version》5.0.7.RELEASE《/version》
《scope》compile《/scope》
《/dependency》
《dependency》
《groupId》org.springframework《/groupId》
《artifactId》spring-webmvc《/artifactId》
《version》5.0.7.RELEASE《/version》
《scope》compile《/scope》
《/dependency》
由此可以看出，Spring Boot 大大简化了我们的编码，我们不用一个个导入依赖，直接一个依赖即可。
③简化配置
Spring 虽然使Java EE轻量级框架，但由于其繁琐的配置，一度被人认为是“配置地狱”。各种XML、Annotation配置会让人眼花缭乱，而且配置多的话，如果出错了也很难找出原因。Spring Boot更多的是采用 Java Config 的方式，对 Spring 进行配置。举个例子：
我新建一个类，但是我不用 @Service注解，也就是说，它是个普通的类，那么我们如何使它也成为一个 Bean 让 Spring 去管理呢？只需要@Configuration 和@Bean两个注解即可，如下：
public class TestService {
public String sayHello () {
return "Hello Spring Boot!";
}
}
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
@Configuration
public class JavaConfig {
@Bean
public TestService getTestService() {
return new TestService();
}
}
@Configuration表示该类是个配置类，@Bean表示该方法返回一个 Bean。这样就把TestService作为 Bean 让 Spring 去管理了，在其他地方，我们如果需要使用该 Bean，和原来一样，直接使用@Resource注解注入进来即可使用，非常方便。
@Resource private TestService testService;
另外，部署配置方面，原来 Spring 有多个 xml 和 properties配置，在 Spring Boot 中只需要个 application.yml即可。

④简化部署
在使用 Spring 时，项目部署时需要我们在服务器上部署 tomcat，然后把项目打成 war 包扔到 tomcat里，在使用 Spring Boot 后，我们不需要在服务器上去部署 tomcat，因为 Spring Boot 内嵌了 tomcat，我们只需要将项目打成 jar 包，使用 java -jar xxx.jar一键式启动项目。
另外，也降低对运行环境的基本要求，环境变量中有JDK即可。

⑤简化监控
我们可以引入 spring-boot-start-actuator 依赖，直接使用 REST 方式来获取进程的运行期性能参数，从而达到监控的目的，比较方便。但是 Spring Boot 只是个微框架，没有提供相应的服务发现与注册的配套功能，没有外围监控集成方案，没有外围安全管理方案，所以在微服务架构中，还需要 Spring Cloud 来配合一起使用。

spring boot jeesite框架技术整理

在学习springboot过程中，发现一个可以二开的开源项目，是一个Java EE 企业级快速开发平台，多项目依赖，模块式开发。

***隐藏网址***

一、平台技术分析：

1、框架spring boot 2SSM

2、持久层框架mybatis,mybatis-plusSSM，使用注解方式，@Table+@Colume

3、安全框架Shiro+JWT身份验证、授权、密码和会话管理

4、模板引擎Beetl

5、工作流BPM系统 JFlow.net和java版

6、数据可视化AVUE-DATA

7、缓存J2Cache 两级（内存+Redis）缓存框架

8、消息管理集成，封装消息模板配置、消息类型（APP，PC，短信，邮件，微信）、封装、支付计划发送

9、安全审计密码、菜单、用户

10、文档管理swaggerswagger-php

11、前端打印Print.js

12、前端插件Jquery+layer，Jquery.UI，jquery.validate.js，jquery.ztree.js，jquery.jqGrid.js，AdminLte2.0

13、文件存储minio文件服务器，三方OSS

二、业务模块：

1、权限相关

角色标识，权限标识

2、消息管理

3、Shiro+JWT

如何构建spring boot

Spring Boot充分利用了JavaConfig的配置模式以及逗约定优于配置地的理念，能够极大的简化基于Spring
MVC的Web应用和REST服务开发。
Spring
4倡导微服务的架构，针对这一理念，近来在微博上也有一些有价值的讨论，如这里和这里。微服务架构倡导将功能拆分到离散的服务中，独立地进行部署，Spring
Boot能够很方便地将应用打包成独立可运行的JAR包，因此在开发模式上很契合这一理念。目前，Spring
Boot依然是0.5.0的里程碑版本，因此相关的文档尚不完善，本文将会以一个简单的样例来介绍基于这个项目的开发过程。
要Spring
Boot进行功能开发，需要使用Gradle或者Maven作为构建工具。在本例中，我们会使用Eclipse和Maven插件进行开发。要使用Spring
Boot，首先创建一个Maven工程，并修改Maven主要的配置文件pom.xml，如下所示：
《parent》
《groupId》org.springframework.boot《/groupId》
《artifactId》spring-boot-starter-parent《/artifactId》
《version》0.5.0.M7《/version》
《/parent》
《dependencies》
《dependency》
《groupId》org.springframework.boot《/groupId》
《artifactId》spring-boot-starter-web《/artifactId》
《/dependency》
《dependency》
《groupId》org.thymeleaf《/groupId》
《artifactId》thymeleaf-spring3《/artifactId》
《/dependency》
《/dependencies》
《properties》
《start-class》com.levin.Application《/start-class》
《/properties》
《build》
《plugins》
《plugin》
《groupId》org.springframework.boot《/groupId》
《artifactId》spring-boot-maven-plugin《/artifactId》
《/plugin》
《/plugins》
《/build》
《repositories》
《repository》
《id》spring-milestone《/id》
《url》《/url》
《snapshots》
《enabled》false《/enabled》
《/snapshots》
《/repository》
《/repositories》
《pluginRepositories》
《pluginRepository》
《id》spring-milestone《/id》
《url》《/url》
《snapshots》
《enabled》false《/enabled》
《/snapshots》
《/pluginRepository》
《/pluginRepositories》
在上面的配置中，需要将工程的parent设置为spring-boot-starter-parent，并添加对spring-boot-starter-web的依赖，这样我们就无需设置各个依赖项及其版本信息了。并且在构建中要声明使用spring-boot-maven-plugin这个插件，它会对Maven打包形成的JAR进行二次修改，最终产生符合我们要求的内容结构。
在我们的应用中将要发布一个REST服务，显示一个基本的用户信息，首先定义一个简单的模型类：

package com.levin;
public class Person {
private String name;
private String email;

public Person(String name, String email) {
this.name = name;
this.email = email;
}

public String getName() {
return name;
}
public void setName(String name) {
this.name = name;
}
public String getEmail() {
return email;
}
public void setEmail(String email) {
this.email = email;
}

}
接下来，我们需要声明一个Spring MVC的Controller，响应对实体的请求：
@Controller
public class ShowPersonController {
@RequestMapping("/showPerson")
public @ResponseBody Person showPerson() {
return new Person("levinzhang","levinzhang1981@gmail.com");
}
}
这个类与我们在使用Spring MVC定义Controller时并无任何差别。接下来，我们需要声明一个主类启动这个应用程序：
@ComponentScan
@EnableAutoConfiguration
public class Application {
public static void main(String args) {
SpringApplication.run(Application.class, args);
}
}
这个类的main方法中使用了SpringApplication帮助类，并以Application这个类作为配置来启动Spring的应用上下文。在这个类中使用了ComponentScan以及EnableAutoConfiguration注解，其中ComponentScan注解会告知Spring扫描指定的包来初始化Spring
Bean，这能够确保我们声明的Bean能够被发现。EnableAutoConfiguration将会启动自动配置模式，在我们的配置中会将对Tomcat的依赖级联进来，因此在应用启动时将会自动启动一个嵌入式的Tomcat，因为在样例中使用了Spring
MVC，所以也会自动注册所需的DispatcherServlet，这都不需要类似web.xml这样的配置。
在Eclipse中要运行这个应用的话，可以直接以Java
Application的形式来运行这个main函数，此时会启动应用，我们在浏览器中可以看到如下的运行效果，这就是我们想要的REST服务：
在开发调试完成之后，可以将应用打成JAR包的形式，在Eclipse中可以直接使用Maven插件的package命令，最终会形成一个可运行的JAR包。我们使用java
–jar命令就可以运行这个JAR包了。所呈现出的效果与在调试期是一样的。现在看一下这个JAR包解压后的目录结构：
这个JAR包与传统JAR包的不同之处在于里面有一个名为lib的目录，在这个目录中包含了这个简单应用所依赖的其他JAR包，其中也包含内置的嵌入式Tomcat，正是使用它，才能发布服务和访问Web资源。除了我们编写的源码所编译形成的CLASS以外，在org目录下还有许多Spring所提供的CLASS，正是依赖这些CLASS，才能够加载位于lib目录下JAR中的类。这样的加载机制与在OSGi
bundle中声明Bundle-Classpath很类似，不过在OSGi中会由容器来负责加载指定路径下的类。这大致阐述了这样一个JAR包能够发布服务的原因。
如果我们想要使用HTML、JSP等Web资源的话，在Controller中直接返回对应的视图就可以了。
如果我们想要将这个JAR包转换成可以在Servlet容器中部署的WAR的话，就不能依赖于Application的main函数了，而是要以类似于web.xml文件配置的方式来启动Spring应用上下文，此时我们需要声明这样一个类：
public class HelloWebXml extends SpringBootServletInitializer {
@Override
protected SpringApplicationBuilder configure(SpringApplicationBuilder application) {
return application.sources(Application.class);
}
}
这个类的作用与在web.xml中配置负责初始化Spring应用上下文的监听器作用类似，只不过在这里不需要编写额外的XML文件了。
如果要将最终的打包形式改为WAR的话，还需要对pom.xml文件进行修改，除了需要将packaging的值修改为war以外，还需要对依赖进行适当的配置（这一部分在Spring
Boot的样例和文档中均未提及，提醒大家注意）：
《dependency》
《groupId》org.springframework.boot《/groupId》
《artifactId》spring-boot-starter-web《/artifactId》
《exclusions》
《exclusion》
《groupId》org.springframework.boot《/groupId》
《artifactId》spring-boot-starter-tomcat《/artifactId》
《/exclusion》
《/exclusions》
《/dependency》
在这里需要移除对嵌入式Tomcat的依赖，这样打出的WAR包中，在lib目录下才不会包含Tomcat相关的JAR包，否则将会出现启动错误。另外，在移除对Tomcat的依赖后，为了保证编译正确，还需要添加对servlet-api的依赖，因此添加如下的配置：

《dependency》
《groupId》org.apache.tomcat《/groupId》
《artifactId》tomcat-servlet-api《/artifactId》
《version》7.0.42《/version》
《scope》provided《/scope》
《/dependency》
在这里将scope属性设置为provided，这样在最终形成的WAR中不会包含这个JAR包，因为Tomcat或Jetty等服务器在运行时将会提供相关的API类。此时，执行mvn
package命令就会得到一个WAR文件，我们可以直接将其放到Tomcat下运行（需要7.0.42版本以上）。
以上介绍了基于Spring Boot开发应用的过程，目前它的文档尚不完善，但是在GitHub上有不少的样例，包括与Spring
Data集成访问数据库（关系型以及非关系型）、安全、WebSocket等，读者感兴趣可以下载运行，需要注意的是有些样例中使用的是0.5.0.M6版本，这个版本有问题，运行时会出错，建议手动修改为0.5.0.M7或快照版本。
基于以上的介绍，希望读者能够对Spring
Boot这个新项目有所了解。它简化了JAR包管理和相关基础设施环境的配置，能够帮助我们快速开发Web应用或构建REST服务，希望它能够尽快完善成熟，更多地用于实践，提升开发效率。