[v2系]Spring Boot入門:Spring Securityで認証と認可

# タグ指定してclone
git clone https://github.com/gsg0222/spring-boot-tutorial-step7.git -b v2.6.3
# cloneしたあとにタグ指定してcheckout
git checkout v2.6.3

package blog.tsuchiya.tutorial.step7.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

import lombok.RequiredArgsConstructor;

/**
 * Spring Securityの設定を行うクラス。
 * 1,ConfigurationとEnableWebSecurityアノテーションを付ける
 * 2,WebSecurityConfigurerAdapterを継承する
 * の2つが必要。
 * 
 */
@Configuration
@EnableWebSecurity
@RequiredArgsConstructor
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

	/** ログイン処理を行うインスタンスをDI */
	private final UserDetailsService uds;

	/**
	 * 基本的な設定はここで行う。
	 */
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		// @formatter:off
 
		// アクセス権限に関する設定
		http
			// /はアクセス制限をかけない
			.authorizeRequests().antMatchers("/").permitAll()
			// /adminはADMINロールを持つユーザだけアクセス可能
			.antMatchers("/admin").hasRole("ADMIN")
			// /userはUSERロールを持つユーザだけアクセス可能
			.antMatchers("/user").hasRole("USER")
			// それ以外のページは認証が必要
			.anyRequest().authenticated();

		// ログインに関する設定
		http
			.formLogin()
			// ログインを実行するページを指定。
			// この設定だと/にPOSTするとログイン処理を行う
			.loginProcessingUrl("/")
			// ログイン画面の設定
			.loginPage("/")
			// ログインに失敗した場合の遷移先
			.failureUrl("/")
			// ユーザIDとパスワードのname設定
			.usernameParameter("username")
			.passwordParameter("password")
			// ログインに成功した場合の遷移先
			.defaultSuccessUrl("/common", true);
		
		// ログアウトに関する設定
		http
			.logout()
			// ログアウト処理を行うページ指定、ここにPOSTするとログアウトする
			.logoutUrl("/logout")
			// ログアウトした場合の遷移先
			.logoutSuccessUrl("/");

		// @formatter:on
	}


	/**
	 * パスワードのハッシュ化を行うアルゴリズムを返す
	 */
	@Bean
	public PasswordEncoder passwordEncoder() {
		return new BCryptPasswordEncoder();
	}
	
	/**
	 * ログイン処理の設定
	 */
	@Override
	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
		// ログイン処理時のユーザー情報をDBから取得する
		auth.userDetailsService(uds).passwordEncoder(passwordEncoder());
	}

}

			.antMatchers("/admin").hasRole("ADMIN")

	/**
	 * パスワードのハッシュ化を行うアルゴリズムを返す
	 */
	@Bean
	public PasswordEncoder passwordEncoder() {
		return new BCryptPasswordEncoder();
	}
	
	/**
	 * ログイン処理の設定
	 */
	@Override
	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
		// ログイン処理時のユーザー情報をDBから取得する
		auth.userDetailsService(uds).passwordEncoder(passwordEncoder());
	}

package blog.tsuchiya.tutorial.step7.service;

import java.util.HashSet;
import java.util.Set;

import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

import blog.tsuchiya.tutorial.step7.repository.UserRepository;
import lombok.RequiredArgsConstructor;

/**
 * Spring Bootで使うユーザ情報の取得を行うクラス。
 */
@RequiredArgsConstructor
@Service
public class UserDetailsServiceImpl implements UserDetailsService {
	
	private final UserRepository userRepository;

	/**
	 * ユーザ情報を取得する。
	 * もし引数のユーザ情報が存在しなかったら、UsernameNotFoundExceptionを投げる。
	 */
	@Override
	public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
		var user = this.userRepository.findByName(username);
		// もしユーザが見つからなかった場合、例外を投げる
		if (user == null) {
			throw new UsernameNotFoundException("User [" + username + "] not found.");
		}
		return createUser(user);
	}

	/**
	 * DBから取得したユーザ情報をSpring Bootのユーザ情報に変更する。
	 * @param user DBから取得したユーザ情報
	 * @return Spring Bootのユーザ情報
	 */
	private UserDetails createUser(blog.tsuchiya.tutorial.step7.model.User user) {
		Set<GrantedAuthority> auth = new HashSet<>();
		// ロールにはROLE_というプレフィックスを付ける
		auth.add(new SimpleGrantedAuthority("ROLE_" + user.getRole()));
		User userDetails = new User(user.getName(), user.getPassword(), auth);
		return userDetails;
	}

}

<!DOCTYPE html>
<!--/* xmlns:secも定義しておく */-->
<html lang="ja" xmlns:th="http://www.thymeleaf.org"
	xmlns:sec="http://www.thymeleaf.org/extras/spring-security">
<head>
<meta charset="UTF-8">
<title>共通</title>
<link
	href="https://cdn.jsdelivr.net/npm/bootstrap@5.1.1/dist/css/bootstrap.min.css"
	rel="stylesheet">

</head>
<body>
	<nav class="navbar navbar-expand-sm navbar-light bg-light"
		th:fragment="header">
		<div class="container-fluid">
			<div class="collapse navbar-collapse" id="navbarSupportedContent">
				<ul class="navbar-nav me-auto mb-2 mb-lg-0">
					<li class="nav-item"><a class="nav-link active"
						aria-current="page" th:href="@{/common}">共通ページ</a></li>
					<!--/* 管理者ロールだったら表示 */-->
					<li class="nav-item" sec:authorize="hasRole('ADMIN')"><a
						class="nav-link active" aria-current="page" th:href="@{/admin}">管理者ページ</a></li>
					<!--/* ユーザロールだったら表示 */-->
					<li class="nav-item" sec:authorize="hasRole('USER')"><a
						class="nav-link active" aria-current="page" th:href="@{/user}">ユーザページ</a></li>
				</ul>
				<form class="d-flex" method="post" th:action="@{/logout}">
					<button class="btn btn-outline-success" type="submit">ログアウト</button>
				</form>
			</div>
		</div>
	</nav>
	<main>
		<h1>共通ページ</h1>
	</main>
</body>
</html>

package blog.tsuchiya.tutorial.step7.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;

@Controller
public class MainController {

	@GetMapping("/")
	public String index() {
		return "index";
	}

	@GetMapping("/common")
	public String common() {
		return "common";
	}

	@GetMapping("/user")
	public String user() {
		return "user";
	}
	
	@GetMapping("/admin")
	public String admin() {
		return "admin";
	}
}

package blog.tsuchiya.tutorial.step7.model;

import javax.persistence.Entity;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;
import javax.validation.constraints.Size;

import com.sun.istack.NotNull;

import lombok.Data;

@Data
@Entity
public class User {

	@Id
	@GeneratedValue(strategy = GenerationType.IDENTITY)
	private Long id;
	
	@NotNull
	@Size(max=255)
	private String name;
	
	@NotNull
	@Size(max=255)
	private String password;

	@NotNull
	@Size(max=10)
	private String role;

}

package blog.tsuchiya.tutorial.step7.repository;

import org.springframework.data.jpa.repository.JpaRepository;
import org.springframework.stereotype.Repository;

import blog.tsuchiya.tutorial.step7.model.User;

@Repository
public interface UserRepository extends JpaRepository<User, Long> {

	/**
	 * 名前でユーザを検索。
	 * 命名規則に従ってインタフェースでメソッドを定義すると、
	 * JPAが実装を行ってくれる。
	 * @param name 検索するユーザ名
	 * @return ユーザ名に対応するユーザ
	 */
	User findByName(String name);
}

<!DOCTYPE html>
<html lang="ja" xmlns:th="http://www.thymeleaf.org">
<head>
<meta charset="UTF-8">
<title>ログイン</title>
<link
	href="https://cdn.jsdelivr.net/npm/bootstrap@5.1.1/dist/css/bootstrap.min.css"
	rel="stylesheet">

</head>
<body>
	<div class="text-center">
		<h1>Login</h1>
		<form method="post" th:action="@{/}">
			<!--/* エラーメッセージ */-->
			<p th:if="${session['SPRING_SECURITY_LAST_EXCEPTION']} != null"
				th:text="${session['SPRING_SECURITY_LAST_EXCEPTION'].message}">
				ログインエラーメッセージ</p>
			<label>ユーザーID</label> <input type="text" name="username" /><br /> <br />
			<label>パスワード</label> <input type="password" name="password" /><br />
			<br />
			<button class="btn btn-primary" type="submit">ログイン</button>
		</form>
	</div>

</body>
</html>

<!DOCTYPE html>
<html lang="ja" xmlns:th="http://www.thymeleaf.org">
<head>
<meta charset="UTF-8">
<title>管理者</title>
<link
	href="https://cdn.jsdelivr.net/npm/bootstrap@5.1.1/dist/css/bootstrap.min.css"
	rel="stylesheet">

</head>
<body>
	<th:block th:replace="common :: header" />

	<main>
		<h1>管理者ページ</h1>
	</main>
</body>
</html>

<!DOCTYPE html>
<html lang="ja" xmlns:th="http://www.thymeleaf.org">
<head>
<meta charset="UTF-8">
<title>ユーザ</title>
<link
	href="https://cdn.jsdelivr.net/npm/bootstrap@5.1.1/dist/css/bootstrap.min.css"
	rel="stylesheet">

</head>
<body>
	<th:block th:replace="common :: header" />

	<main>
		<h1>ユーザページ</h1>
	</main>
</body>
</html>

# H2の設定
# 利用するドライバ、H2を使う場合はこの値で固定
spring.datasource.driver-class-name=org.h2.Driver
# インメモリで使い、データベース名はtestdbとする
spring.datasource.url=jdbc:h2:mem:testdb
# ここで指定したユーザが作成される
spring.datasource.username=sa
# 上で指定したユーザのパスワードを指定
spring.datasource.password=

# data.sqlをschema.sqlの後に読み込むように設定
spring.jpa.defer-datasource-initialization=true

INSERT INTO USER(NAME, PASSWORD, ROLE) VALUES ('user', '$2a$08$OqGyRm3IudPT3rOC9HlvbuHDfdKZqBxXaghzU.pn5xHLt/oIITHSK', 'USER');
INSERT INTO USER(NAME, PASSWORD, ROLE) VALUES ('admin', '$2a$08$OqGyRm3IudPT3rOC9HlvbuHDfdKZqBxXaghzU.pn5xHLt/oIITHSK', 'ADMIN');

DROP TABLE IF EXISTS USER;

CREATE TABLE USER (
    ID IDENTITY NOT NULL PRIMARY KEY,
    NAME VARCHAR(255) NOT NULL,
    PASSWORD VARCHAR(255) NOT NULL,
    ROLE VARCHAR(10) NOT NULL
);