Spring SecurityでDB認証&BCryptでハッシュ化

概要

• Spring Securityで必要最低限のログイン機能を実装する。（権限周りは触れません。）
• ログインフォームなどはSpring Securityで用意されているものを使う。
• 仕組みはあまり理解できていないので、また別でまとめます。
• この投稿はとりあえず、動くようになったというところまで！
  

開発環境

• OS：Windows10
• IDE：eclipse 2019-12
• Java：13
• Spring boot：2.2.5(Gradle)
• DB：Oracle 12c
  

Spring Securityの導入

依存関係で下記の4つを選択

• Spring Security
• Spring Web
• Spring Data JPA
• Oracle Driver ←使用するDBのDriverを選択してください

DB接続情報をプロパティファイルに記述

• それぞれのDBに合った内容にしてください。

application.properties

spring.datasource.url=jdbc:oracle:thin:@//localhost:1521/[データベース名]
spring.datasource.username=[DBユーザー名]
spring.datasource.password=[パスワード]
spring.datasource.driver-class-name=oracle.jdbc.OracleDriver

ユーザー情報のテーブルを作成

create table USER_TABLE (
    USER_ID VARCHAR2(30 char)
  , FAMILY_NAME VARCHAR2(10 char) not null
  , FIRST_NAME VARCHAR2(10 char) not null
  , PASSWORD VARCHAR2(255) not null
  , constraint USER_TABLE_PKC primary key (USER_ID)
) ;

データ登録

下記のパスワードは「pass」をハッシュ化したものです。
この記事を参考にしました。

INSERT INTO
    USER_TABLE
VALUES(
    '0001'
   ,'テスト'
   ,'太郎'
   ,'$2a$10$w0C4tFU.SLFATC1Y6Y4uy.vMYsLXhlfvgnFP4dLbRjEa6/Ag1csKS'
   );

Entityクラスを作成

UserTable.java

import javax.persistence.Column;
import javax.persistence.Entity;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;
import javax.persistence.Table;

@Entity
@Table(name = "USER_TABLE")
public class UserTable {
    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    @Column(name = "USER_ID")
    private String userId;

    @Column(name = "FAMILY_NAME")
    private String familyName;

    @Column(name = "FIRST_NAME")
    private String firstName;

    @Column(name = "PASSWORD")
    private String password;

// Getter,Setterは省略

リポジトリを作成

UserTableRepository.java

import org.springframework.data.jpa.repository.JpaRepository;
import org.springframework.stereotype.Repository;

import com.azkz.entity.UserTable;

@Repository
public interface UserTableRepository extends JpaRepository<UserTable, String> {

    public UserTable findByUserId(String userId);

}

SecurityConfigを作成

DemoSecurityConfig.java

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class DemoSecurityConfig extends WebSecurityConfigurerAdapter {

    //アクセス可能なURLの制限とログイン成功時の遷移先の指定をするメソッド
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        httpSecurity.authorizeRequests()
                .mvcMatchers("/").permitAll() // 「/」は誰でもアクセスできる
                .anyRequest().authenticated() // それ以外はログインが必要
                .and()
                .formLogin()
                .defaultSuccessUrl("/success"); // ログイン成功時には「/success」にGetリクエストをする
    }

    //入力されたパスワードをBCrypt方式でハッシュ化するメソッド
    @Bean
    protected PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

UserDetailsServiceを作成

• DBからユーザ情報を取得し、DemoUserDetailsをインスタンス化する。

DemoUserDetailsService.java
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

import com.azkz.entity.UserTable;
import com.azkz.repository.UserTableRepository;

@Service
public class DemoUserDetailsService implements UserDetailsService {

    @Autowired
    UserTableRepository userTableRepository;

    @Override
    public UserDetails loadUserByUsername(String userId) throws UsernameNotFoundException {

        //入力されたUserIDを条件にDBからデータを取得する
        UserTable userTable = userTableRepository.findByUserId(userId);

        // 入力値（ユーザーID、パスワード）とインスタンス化したDemoUserDetailsクラスを
        // SpringSecurityの内部で比較することで、ログインチェックを行っている。
        return new DemoUserDetails(userTable);

    }

}

UserDetailsを作成

• このクラスが入力情報（ユーザID、パスワード）と比較されることになる(？)
• ログイン後のセッション情報もこれ

DemoUserDetails.java

import java.util.Collections;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.User;

import com.azkz.entity.UserTable;

public class DemoUserDetails extends User {

    @Autowired
    UserTable userTable;

    public DemoUserDetails(UserTable userTable) {
        // 「Collections.emptySet()」は本来は権限名のコレクションとなる。今回は空。
        super(userTable.getUserId(), userTable.getPassword(),Collections.emptySet());
        this.userTable = userTable;
    }

    // セッション情報から独自の項目を取得するためのGetter

    public String getFirstName() {
        return this.userTable.getFirstName();
    }

    public String getFamilyName() {
        return this.userTable.getFamilyName();
    }

}

Controllerを作成

• 成功時にログインユーザの情報を表示する

DemoController.java

import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

import com.azkz.security.DemoUserDetails;

@RestController
public class DemoController {

    @GetMapping("/success")
    public DemoUserDetails loginSuccess() {
        // ログイン中のユーザ情報を取得
        DemoUserDetails demoUserDetails =
                (DemoUserDetails) SecurityContextHolder
                                    .getContext().getAuthentication().getPrincipal();

        return demoUserDetails;
    }
}

画面確認

http://localhost:8080/login にアクセス

ログイン成功

ログイン失敗

終わりに

• 表面的なことしか書いておりませんが、間違い・不足点等がございましたら、ぜひご教示いただきたく存じます。何卒！