基于 JWT 的权限控制框架 Light Security

Apache
Java
跨平台
2019-04-22
周立_ITMuch

Light Security是一个基于 jwt 的权限控制框架,支持与 Spring Boot 配合使用。

特点

优点

  • 上手快速
  • 开箱即用
  • 轻量级,代码精简,不到500行代码
  • 功能实用,市面上安全框架常用能力与套路均已具备
    • 支持 RESTful 权限控制
    • 支持灵活的权限配置(代码配置方式优先级更高)
      • 支持基于配置文件的权限配置
      • 支持基于代码的权限控制
    • 支持基于注解的权限控制
  • 设计简单,没有复杂概念;
    • 基于权限配置的方式:核心是1个拦截器
    • 基于注解的权限控制:核心是1个切面

缺点

  • 功能比Spring Security、Apache Shiro弱;
  • 只考虑权限相关问题
    • 不考虑身份认证(登录),意味着登录逻辑得自己玩;
    • 不考虑安全,意味着网络攻击得自己防;
  • 目前与Spring MVC强绑定,暂不支持WebFlux或其他框架。

依赖

  • Spring MVC:用到Spring MVC的拦截器;
  • Spring AOP:如果不用基于注解的权限控制,则无需该部分依赖;
  • jwt:你懂的

快速上手

TIPS

快速上手可详见项目 light-security-example 目录,内附详细测试步骤。

基于配置文件的权限配置

  • 加依赖:

    <dependency>
        <groupId>com.itmuch.security</groupId>
        <artifactId>light-security-spring-boot-starter</artifactId>
        <version>1.0.1-RELEASE</version>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-aop</artifactId>
    </dependency>
  • 写配置

    light-security:
      # 权限规则配置:表示用{http-method}方法请求的{path}路径必须具备什么{expression}
      spec-list:
        - http-method: ANY
          path: /login
          expression: "anon()"
        - http-method: ANY
          path: /user
          expression: "hasAnyRoles('user','admin')"
        - http-method: GET
          path: /error
          expression: "anon()"
        - http-method: ANY
          path: /**
          expression: "hasLogin()"
      jwt:
        # jwt sign算法
        algorithm: hs512
        # jwt secret
        secret: http-security-secret-modify-mehttp-security-secret-modify
        # jwt 有效时间
        expiration-in-second: 1209600
  • 写代码:

    @RequestMapping
    @RestController
    @RequiredArgsConstructor(onConstructor = @__(@Autowired))
    public class TestController {
        private final UserOperator userOperator;
        private final JwtOperator operator;
    
        /**
         * 演示如何获取当前登录用户信息
         * - 该路径需要具备user或admin权限才可访问,详见application.yml
         *
         * @return 用户信息
         */
        @GetMapping("/user")
        public User user() {
            return userOperator.getUser();
        }
    
        /**
         * 演示基于注解的权限控制
         *
         * @return 如果有权限返回 亲,你同时有user、admin角色..
         */
        @GetMapping("/annotation-test")
        @PreAuthorize("hasAllRoles('user','admin')")
        public String annotationTest() {
            return "亲,你同时有user、admin角色..";
        }
    
        /**
         * 模拟登录,颁发token
         *
         * @return token字符串
         */
        @GetMapping("/login")
        public String loginReturnToken() {
            User user = User.builder()
                    .id(1)
                    .username("张三")
                    .roles(Arrays.asList("user", "admin"))
                    .build();
            return operator.generateToken(user);
        }
    }

基于代码的权限配置

@Configuration
public class LightSecurityConfigurtion {
    @Bean
    public SpecRegistry specRegistry() {
        return new SpecRegistry()
                .add(HttpMethod.GET, "/user", "hasAnyRoles('user')")
                .add(HttpMethod.ANY, "/**", "hasLogin()");
    }
}

此时,application.yml 中的如下配置可删除,因为代码配置方式优先级更高,配置文件方式将会失效

light-security:
  # 权限规则配置:表示用{http-method}方法请求的{path}路径必须具备什么{expression}
  spec-list:
    - http-method: ANY
      path: /login
      expression: "anon()"
    - http-method: ANY
      path: /user
      expression: "hasAnyRoles('user','admin')"
    - http-method: GET
      path: /error
      expression: "anon()"
    - http-method: ANY
      path: /**
      expression: "hasLogin()"

扩展点

作用
com.itmuch.lightsecurity.jwt.UserOperator 提供用户相关操作,例如解析token获得用户信息等。
com.itmuch.lightsecurity.el.PreAuthorizeExpressionRoot 提供了表达式,例如hasAnyRoles('user') 等,如需新能力,只要写新方法即可
com.itmuch.lightsecurity.annotation.support.PreAuthorizeAspect 为注解 @PreAuthorize("hasAllRoles('user','admin')")提供支持

常见问题

为什么要再造个轮子?

老是有人问我诸如"微服务安全怎么管理?"、"Spring Securityxxxx问题你遇到过吗?"、"能写个Spring Cloud Security的系列教程吗?"、"Shiroxxxx问题你遇到过吗?"

烦不胜烦,初期积极回复;后来消极回复;再后来懒得回复。

分析一下,发现主要原因还是Spring Security、Shiro学习曲线较高,特别是Spring Security。所以就想写个轻量的框架,能够快速解决主要矛盾——足够简单、能实现权限控制。

为什么实现一个通用的权限解决方案?

有考虑实现一个通用权限框架,但那样会增加挺多代码,而且要添加挺多适配逻辑(例如适配Spring MVC、WebFlux等)。

个人认为这在现阶段去实现还不合适,个人不太喜欢画饼。既然"通用性"不是目前最主要的矛盾,高效解决问题相对更加重要。那何必花精力去实现通用性?设计上支持往"通用性"迁移即可。

未来如果有需求,我会做一个通用版本,并且低版本也可无痛、平滑地迁移。

为什么不考虑身份认证(登录)?

目前市面上大多权限框架都考虑了"身份认证(登录)" + "权限管理" 。然而登录操作在现在这个时代,是一个"五花八门"的操作。例如:

  • 手机号 + 验证码登录
  • 扫二维码登录
  • 账号密码登录
  • 证书登录

往往还需还同时支持多种登录方式。这挺难去抽象出通用模式,并为典型的登录方式提供支持。

索性不考虑了——把登录问题留给使用者自己。用户可根据业务需求实现登录逻辑,并颁发Token,后面的事情就交给 Light Security ,让它给你搞定。这样相对更加灵活,更重要的是——你也不再需要去学习用框架应该怎么登录。

的码云指数为
超过 的项目
加载中

评论(4)

食肉大灰兔
食肉大灰兔
也可以试试:https://github.com/php-casbin/php-casbin
succy
succy
支持一下
magoo_lau
magoo_lau
mark
超级大丁丁
超级大丁丁
赞赞赞,ss和shiro确实是有成本,我需要的就是你这个。挺好的,支持一吃

轻量级权限控制框架 Light Security 1.0.1 发布

Light Security是一个基于 jwt 的权限控制框架,支持与 Spring Boot 配合使用。 地址 GitHub:https://github.com/eacdy/light-security Gitee:https://gitee.com/itmuch/light-security 特...

04/21 21:39

没有更多内容

加载失败,请刷新页面

没有更多内容

暂无问答

更多恶意软件在安卓市场上出现;谷歌迅速将其移除

More Malware in Android Market, Google Quickly Removes it 更多恶意软件在安卓市场上出现;谷歌迅速将其移除 posted by Thom Holwerda on Sun 17th Jul 2011 07:39 UTC, submitted by Jen...

2011/07/18 08:47
33
0
设计模式-Facade Pattern

一、 门面(Facade)模式 外部与一个子系统的通信必须通过一个统一的门面(Facade)对象进行,这就是门面模式。 医院的例子 用一个例子进行说明,如果把医院作为一个子系统,按照部门职能,这个...

2012/05/17 17:19
36
0
Java Magic. Part 5: SecurityManager

Pouring a bit light on SecurityManager and its use cases. Intro You can do a terrible things in java using sun.misc.Unsafe class. Some really creepy examples were discussed in J...

2016/07/25 19:10
10
0
How Car Alarms Work

How Car Alarms Work

2015/05/20 17:26
24
0
Networknt Light 4J分析报告

Networknt Light 4J分析报告 一、整体介绍 Light 4J是networknt.com的核心产品。一个基于Java SE快速、轻量级并且高效的微服务框架。其包含十多个子模块,用于不同风格的API构建,包括OAuth...

05/31 16:00
70
0
AppFuse试用小记

听同事说起 AppFuse,有点兴趣,试用了下,过程记录如下: 按照官方快速教程,安装必须的软件,看的是原版,中文版有点过期,我的环境: Debian squeeze OpenJKD 6 MySQL 5.1 Maven 2.2.1 S...

2013/06/17 18:17
298
0
slammed for taking smiling

slammed for taking smiling

2015/05/22 13:15
3
0
How to use re-write module of Apache web server 2.2.3 on FC6 with new or refurbi

http://www.dharwadkar.com/weblog/apache_fc6_01 I finished upgrading my web server to better hardware and latest OS and web server just yesterday. Whether you get better hardware...

2015/12/15 22:30
2
0
解谜游戏 MU Complex 的过关图文攻略 (Episode1)

解谜游戏 MU Complex 的过关图文攻略 (Episode1)

2014/12/19 17:32
2.8K
0

没有更多内容

加载失败,请刷新页面

返回顶部
顶部