如何关联数据库Users实体实现Spring Security认证并颁发Token

嗨，看起来你已经搭好基础的认证框架了，现在只需要把内存里的测试用户换成数据库里的真实用户就行，我来一步步帮你搞定：

1. 让你的UserService实现Spring Security的UserDetailsService接口 #

Spring Security需要通过UserDetailsService接口来获取用户信息，所以你的UserService得实现这个接口，重写loadUserByUsername方法，从数据库查询用户并转换成它能识别的UserDetails对象。

假设你的Users实体有username、password、roles（比如字符串列表）这些字段，修改后的UserService大概是这样：

@Service
public class UserService implements UserDetailsService {

    @Autowired
    private UserDao userDao;

    // 保留你原来的业务方法...

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 从数据库根据用户名查询用户
        Users user = userDao.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("找不到用户：" + username);
        }

        // 把自定义的Users实体转换成Spring Security的UserDetails
        // 处理用户权限，把角色列表转成GrantedAuthority集合
        Collection<GrantedAuthority> authorities = user.getRoles().stream()
                .map(SimpleGrantedAuthority::new)
                .collect(Collectors.toList());

        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(), // 注意：这里的密码要和数据库存储的编码方式匹配
                authorities
        );
    }
}

2. 修改SecurityConfig中的认证配置 #

把原来的内存认证代码删掉，换成用UserService来获取用户，同时必须配置密码编码器（这是Spring Security的强制要求，之前用{noop}是内存认证里的明文密码标记）：

@Configuration 
@EnableWebSecurity 
public class SecurityConfig extends WebSecurityConfigurerAdapter { 

    @Autowired 
    UserService userService; 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
        http.csrf().disable()
            .authorizeRequests()
                .antMatchers("/login").permitAll() 
                .anyRequest().authenticated() 
            .and()
            .addFilterBefore(new LoginFilter("/login", authenticationManager()), UsernamePasswordAuthenticationFilter.class) 
            .addFilterBefore(new JwtFilter(), UsernamePasswordAuthenticationFilter.class); 
    } 

    @Override 
    protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
        // 替换内存认证，使用我们的UserService
        auth.userDetailsService(userService)
            .passwordEncoder(passwordEncoder()); // 绑定密码编码器
    } 

    // 配置密码编码器
    @Bean
    public PasswordEncoder passwordEncoder() {
        // 👉 注意：生产环境绝对不能用这个！这只是适配你之前的明文密码场景
        // 如果后续要加密存储密码，换成BCryptPasswordEncoder：return new BCryptPasswordEncoder();
        return NoOpPasswordEncoder.getInstance(); 
    }
}

3. 关键注意事项 #

• 密码编码问题：如果你现在数据库里的密码是明文，用NoOpPasswordEncoder可以暂时正常工作，但生产环境一定要换成加密编码器（比如BCrypt），同时用户注册时要把密码加密后再存入数据库。
• LoginFilter无需修改：你的自定义LoginFilter会调用authenticationManager.authenticate()，现在authenticationManager会通过UserService从数据库取用户信息并校验密码，所以过滤器可以直接复用。
• 权限格式：如果后续用hasRole("USER")做授权，Spring Security会自动给角色加上ROLE_前缀，所以你数据库里的角色可以存USER，或者存ROLE_USER然后直接映射成SimpleGrantedAuthority。

这样修改后，你的认证体系就能支持数据库中所有用户的密码校验和Token颁发了！

内容的提问来源于stack exchange，提问作者confusedWolf