【笔记】SpringBoot

• @GetMapping
• @DeleteMapping
• @PostMapping
• @PutMapping
• @PatchMapping

• 所有HTTP请求路径都需要认证，认证是通过默认的登录页实现的
• 此时没有特定的角色和权限，只有唯一用户User

@Bean
public PasswordEncoder PpasswordEncoder(){
    return new BCryptPasswordEncoder();
}

@Bean
public UserDetailsService userDetailsService(UserRepository userRepo){
    return username -> {
        User user = userRepo.findByUsername(username);
        if(user != null) return user;
        throw new UsernameNotFoundException(username);
    };
}

@Entity
@Data
@NoArgsConstructor(access = AccessLevel.PRIVATE, force = true)
@RequiredArgsConstructor
@Table(name = "MyUser")
public class User implements UserDetails {

    private static final long serialVersionUID = 1L;

    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private Long id;

    private final String username;
    private final String password;



    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return Arrays.asList(new SimpleGrantedAuthority("ROLE_USER"));
    }

    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }
}

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception{
    return http
            .authorizeRequests()
            .antMatchers("/design", "/orders").hasRole("USER")
            .antMatchers("/","/**").permitAll()
            .and()
            .formLogin()
            .loginPage("/login")
            .loginProcessingUrl("/login")
            .usernameParameter("username")
            .passwordParameter("password")
            .defaultSuccessUrl("/design", true)
            .and()
            .build();
}

其中authorizeRequests可以根据URL模式来配置安全需求，前面的安全规则比后面的安全规则有更高优先级。

 formLogin表示自定义登录页，而loginPage表示登录页的路径（用于Spring Security重定向）。loginProcessingUrl表示接受登录请求（一般是POST请求）的路径，Spring Security会监视该路径，并通过usernameParameter和passwordParameter指定的字段来获取请求参数中的用户名和密码。

如果登录成功，则会根据defaultSuccessUrl跳转页面，否则会跳转到用户登录前浏览的页面，如果登录失败，则会跳转到登录页，并指定query参数error。

Spring Security默认启动CSRF，可以通过如下方法关闭：

.and()
.csrf().disable()
.build();

使用thymeleaf时，规定th:action属性后，表单会自动生成CSRF令牌。

@GetMapping
@PostAuthorize("hasRole('USER') && returnObject.user.username == authentication.name")
public TacoOrder getOrder(Long id){
    return orderRepo.findById(id).orElse(null);
}

server:
  port: 4567

如果将server.port属性设置为0，它会任选一个端口，可用于集成化测试中防止端口冲突。

实际上这个配置属性是由下面的JAVA代码定义的：

@ConfigurationProperties(
    prefix = "server",
    ignoreUnknownFields = true
)
public class ServerProperties {
    private Integer port;
    //...
}

使用@ConfigrationProperties注解，并用prefix指定配置前缀，便可以把类的属性值映射到某个配置属性上，Spring从属性源拉取值后，通过注入的方式为类的属性赋值。

注意到这里的类ServerProperties是一个专门用于存放服务器相关属性的类，这是因为可能存在很多功能类都会使用到其中的属性，所以可以单独设定一个配置类来持有这些属性，而消费这些属性的功能类只需通过Bean注入该配置类即可。

• 通过application.properties或application.yml中设置spring.profiles.active配置属性
• 通过环境变量SPRING_PROFILES_ACTIVE

@RestController
@RequestMapping(path = "/api/tacos", produces = "application/json")
@CrossOrigin(origins = "*")
public class TacoController {

@CrossOrigin用于指定允许跨域资源共享（CORS）的域名

@PostMapping(consumes = "application/json")
@ResponseStatus(HttpStatus.CREATED)
public Taco postTaco(@RequestBody Taco taco){
    return tacoRepo.save(taco);
}

当使用@RestController时，PostMapping的consumes参数可以指定请求输入的类型，这表示该方法只会处理Content-type为consumes参数的请求。

@RequestBody注解表明请求体应该被转换（反序列化）为一个对象并绑定到所注解的参数上。如果不使用@RequestBody注解，Spring会试图将查询参数或者表单参数绑定到该参数上。

@GetMapping("/{id}")
public ResponseEntity<Taco> tacoById(@PathVariable("id") Long id){
    Optional<Taco> taco = tacoRepo.findById(id);
    if(taco.isPresent()) return new ResponseEntity<>(taco.get(), HttpStatus.OK);
    else return new ResponseEntity<>(null, HttpStatus.NOT_FOUND);
}

@Repository
public interface TacoRepository extends CrudRepository<Taco, Long> {
    Page<Taco> findAll(Pageable page);
}

分页和排序功能通过URL的size、page、sort参数来启用。

public <T> T execute(String url, HttpMethod method, @Nullable RequestCallback requestCallback, @Nullable ResponseExtractor<T> responseExtractor, Object... uriVariables) throws RestClientException

其requestCallback参数是一个函数式接口，其中可以通过ClientHttpRequest在请求发出前进行配置。其ResponseExtractor<T>参数也是一个函数式接口，其中可以通过ClienthttpResponse对响应进行反序列化，返回值是Object类型。

public <T> ResponseEntity<T> exchange(String url, HttpMethod method, @Nullable HttpEntity<?> requestEntity, Class<T> responseType, Object... uriVariables)