Spring Security中实现双数据表（用户与管理员）的身份认证

嘿，我来帮你搞定这个Spring Security的登录配置问题！你现在的思路是对的，但有几个关键细节需要调整，我一步步给你讲清楚：

1. 修正JDBC查询语句的问题 #

你当前的usersByUsernameQuery里写了两个?，但Spring Security的这个查询只接受一个参数（就是登录时输入的username），所以UNION查询里的两个WHERE条件应该共用同一个参数。另外，authoritiesByUsernameQuery需要正确从两张表中获取用户角色，还要注意Spring Security对角色的格式要求（通常需要带ROLE_前缀，如果你数据库里的role字段是USER/ADMIN这种，需要在查询时拼接前缀）。

修正后的查询语句如下：

@Autowired
public void configAuthentication(AuthenticationManagerBuilder auth) throws Exception {
    auth.jdbcAuthentication()
        .dataSource(dataSource)
        // 从User和Admin表查询用户名和密码，确保username唯一（两张表不能有重复用户名）
        .usersByUsernameQuery("SELECT username, password, 1 as enabled FROM ( " +
                              "SELECT username, password FROM user " +
                              "UNION " +
                              "SELECT username, password FROM admin) AS combined " +
                              "WHERE username = ?")
        // 从两张表查询用户角色，拼接ROLE_前缀（如果你的数据库role字段已经带前缀可以去掉）
        .authoritiesByUsernameQuery("SELECT username, CONCAT('ROLE_', role) as authority FROM ( " +
                                    "SELECT username, role FROM user " +
                                    "UNION " +
                                    "SELECT username, role FROM admin) AS combined_roles " +
                                    "WHERE username = ?")
        // 必须配置密码编码器，Spring Security强制要求密码加密
        .passwordEncoder(new BCryptPasswordEncoder());
}

2. 关键细节说明 #

• enabled字段：usersByUsernameQuery必须返回enabled列（表示用户是否可用），我这里用1 as enabled默认设置所有用户为可用状态，你可以根据自己的表结构调整。
• 密码编码器：一定要加.passwordEncoder(new BCryptPasswordEncoder())，否则Spring Security会拒绝登录，因为它不允许明文密码（除非你特意关闭，但强烈不建议）。数据库里的密码必须是用BCrypt加密后的字符串，比如你可以用new BCryptPasswordEncoder().encode("123456")生成加密后的密码存入数据库。
• 用户名唯一性：必须保证User和Admin表中没有重复的username，否则UNION查询会返回多条记录，导致Spring Security无法识别正确的用户信息。

3. 完整的WebSecurity配置类示例 #

除了上面的认证配置，你还需要一个完整的WebSecurity配置类来设置登录路径、权限控制等：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import javax.sql.DataSource;
import org.springframework.beans.factory.annotation.Autowired;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 允许所有人访问登录页面和静态资源
                .antMatchers("/login", "/css/**", "/js/**").permitAll()
                // 管理员权限才能访问/admin/**路径
                .antMatchers("/admin/**").hasRole("ADMIN")
                // 普通用户权限访问/user/**路径
                .antMatchers("/user/**").hasRole("USER")
                // 其他路径需要登录后才能访问
                .anyRequest().authenticated()
            .and()
                // 配置登录表单
                .formLogin()
                .loginPage("/login") // 自定义登录页面路径（如果用默认的可以去掉）
                .defaultSuccessUrl("/dashboard") // 登录成功后的默认跳转路径
                .failureUrl("/login?error") // 登录失败后的跳转路径
                .permitAll()
            .and()
                .logout()
                .logoutSuccessUrl("/login?logout") // 退出登录后的跳转路径
                .permitAll();
    }

    @Autowired
    public void configAuthentication(AuthenticationManagerBuilder auth) throws Exception {
        auth.jdbcAuthentication()
            .dataSource(dataSource)
            .usersByUsernameQuery("SELECT username, password, 1 as enabled FROM ( " +
                                  "SELECT username, password FROM user " +
                                  "UNION " +
                                  "SELECT username, password FROM admin) AS combined " +
                                  "WHERE username = ?")
            .authoritiesByUsernameQuery("SELECT username, CONCAT('ROLE_', role) as authority FROM ( " +
                                        "SELECT username, role FROM user " +
                                        "UNION " +
                                        "SELECT username, role FROM admin) AS combined_roles " +
                                        "WHERE username = ?")
            .passwordEncoder(new BCryptPasswordEncoder());
    }
}

4. 额外注意事项 #

• 如果你的数据库里的role字段已经是ROLE_USER、ROLE_ADMIN这种格式，那authoritiesByUsernameQuery里的CONCAT('ROLE_', role)可以直接改成role。
• 测试登录时，确保输入的用户名在User或Admin表中存在，且密码是加密后的正确值。
• 如果遇到登录失败，可以查看Spring Security的日志，通常能找到具体的错误原因（比如密码不匹配、用户不存在、权限格式错误等）。

内容的提问来源于stack exchange，提问作者xampo