SpringBoot-SBA增加Security机制

本文主要是介绍SpringBoot-SBA增加Security机制，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

Spring Boot Admin提供了可视化的监控服务，通过Spring Security的机制保护管理端点，以保证监控数据的安全性。可以使用Spring Security添加认证和授权功能，例如基于用户角色的访问控制、登录页面、注销等。需要配置Spring Security的相关依赖，并在配置文件中设置安全属性。可以使用默认的用户名和密码进行登录，并为管理员用户配置访问授权。Spring Boot Admin还提供了自定义登录页面的功能，以便更好地满足实际需求。

在本教程开启之前，需要先进行SpringBoot-Admin项目的搭建和开启，并在需要被检控的客户端引入spring-boot-admin-client包，并填写相关配置参数。具体步骤可以参考我的上篇文章：SpringBoot-开启Admin监控服务。SpringBoot-Admin项目搭建完成后，我们开始Security机制的配置。

一、Spring Security 介绍

Spring Security是Spring框架的一个强大模块，专注于提供全面的企业级安全服务。其主要目标是保护应用程序免受各种安全威胁，包括身份验证、授权、攻击防护等。以下是Spring Security的主要特性：

身份验证和授权：Spring Security提供了一套强大的身份验证和授权机制，支持多种认证方式（如基于表单、HTTP基本认证、OAuth等），并能够灵活定义和配置访问权限。
强化Web安全性：针对Web应用程序，Spring Security提供了一系列的防护措施，包括CSRF（跨站请求伪造）防护、点击劫持防护等，以确保Web应用程序在面临常见攻击时保持高度安全性。
集成式认证：支持多种认证源，包括数据库、LDAP、OAuth等，使得企业可以根据自身需求选择最适合的认证方式，实现灵活且可定制的身份验证。
细粒度的访问控制：Spring Security允许对应用程序的每个资源进行细粒度的访问控制配置，可以通过注解或XML配置方式实现对URL、方法的权限控制。
会话管理：提供了强大的会话管理功能，支持基于内存、数据库、集中式存储等多种方式，保障用户会话的安全性。
易于集成： Spring Security是一个高度模块化的框架，易于集成到Spring生态系统中。通过简单的配置，开发者可以轻松地引入和定制安全功能。

引入Spring Security的目的是为了在Spring Boot Admin中加强安全性，确保监控服务的操作和数据受到有效的保护，提供更可靠的监控服务。

二、引入 Spring Security 包

首先，我们需要在客户端和服务端都使用 pom.xml 引入 security 包。
在 pom.xml 中引入 Spring Security 的 starter 包，以加入安全认证和授权功能。

<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId>
</dependency>

添加完依赖后，刷新maven自动导入jar包。

三、SBA 服务端配置

然后，我们需要在SBA项目(服务端)的 application.yml 里增加 security 配置，在服务端项目的 application.yml 中添加 Spring Security 的相关配置，包括用户名和密码。

1、编辑配置文件

spring:#开启安全认证 用户名和密码security:user:name: "root"password: "root"

2、添加配置类

接着，我们需要在SBA项目(服务端)增加 SecuritySecureConfig 类。
我们新建 config 目录，目录下创建 SecuritySecureConfig 类，配置 Spring Security 的安全策略，包括登录、注销和 CSRF防护等。

详细代码如下：

SecuritySecureConfig.java

package com.config;import de.codecentric.boot.admin.server.config.AdminServerProperties;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler;
import org.springframework.security.web.csrf.CookieCsrfTokenRepository;@Configuration
public class SecuritySecureConfig extends WebSecurityConfigurerAdapter {private final String adminContextPath;public SecuritySecureConfig(AdminServerProperties adminServerProperties) {this.adminContextPath = adminServerProperties.getContextPath();}@Overrideprotected void configure(HttpSecurity http) throws Exception {SavedRequestAwareAuthenticationSuccessHandler successHandler = new SavedRequestAwareAuthenticationSuccessHandler();successHandler.setTargetUrlParameter("redirectTo");successHandler.setDefaultTargetUrl(adminContextPath + "/");http.authorizeRequests().antMatchers(adminContextPath + "/assets/**").permitAll().antMatchers(adminContextPath + "/login").permitAll().antMatchers(adminContextPath+"/actuator/health").permitAll().anyRequest().authenticated().and().formLogin().loginPage(adminContextPath + "/login").successHandler(successHandler).and().logout().logoutUrl(adminContextPath + "/logout").and().httpBasic().and().csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()).ignoringAntMatchers(adminContextPath + "/instances",adminContextPath + "/actuator/**");}
}

四、SBA 客户端配置

1、配置 security 连接信息

下一步，我们需要在被监控项目(客户端)的 application.yml 里增加 security 连接信息。
在被监控的客户端项目中，我们需要在 application.yml 中配置与服务端相同的用户名和密码信息，以建立连接。

spring:application:## 注册服务名name: ProjectSchedule# springbootAdminboot:admin:client:url: http://127.0.0.1:8088username: 'root'password: 'root'jackson:serialization:indent_output: true