SpringBootでDBを使ったログイン認証を実装する

dependencies {
    implementation("org.springframework.boot:spring-boot-starter-security")
    implementation("org.springframework.boot:spring-boot-starter-thymeleaf")
    implementation("org.springframework.boot:spring-boot-starter-web")
    implementation("org.jetbrains.kotlin:kotlin-reflect")
    implementation("org.thymeleaf.extras:thymeleaf-extras-springsecurity6")
    implementation("org.flywaydb:flyway-core")
    implementation("org.flywaydb:flyway-database-postgresql")
    implementation("org.springframework.boot:spring-boot-starter-data-jpa")
    developmentOnly("org.springframework.boot:spring-boot-devtools")
    providedRuntime("org.springframework.boot:spring-boot-starter-tomcat")
    runtimeOnly("org.postgresql:postgresql")
    runtimeOnly("org.springframework.boot:spring-boot-docker-compose")
}

services:
  db:
    image: 'postgres:17.2'
    ports:
      - '5432:5432'
    environment:
      POSTGRES_USER: 'user'
      POSTGRES_PASSWORD: 'password'
      POSTGRES_DB: 'db'
    volumes:
      - 'postgres_data:/var/lib/postgresql/data'

volumes:
  postgres_data:
    # Dockerのボリューム機能を利用して、PostgreSQLのデータの永続化を行います
    # 永続化を行うことで、コンテナを再起動してもデータが保持されます。
    # これにより、環境のセットアップや再構築時のデータ損失を防ぐことができます。

-- ユーザーテーブル
CREATE TABLE users (
    id SERIAL PRIMARY KEY,
    login_id VARCHAR(255) NOT NULL UNIQUE,
    password VARCHAR(255) NOT NULL,
    user_name VARCHAR(255) NOT NULL,
    is_admin BOOLEAN DEFAULT FALSE,
);

-- 動作確認用のデータ。管理者アカウントとユーザー01というアカウントを初期データにします。
INSERT INTO users (login_id, user_name, password, is_admin) VALUES
    -- passwordは`admin`のハッシュ値(BCrypt)です
　　('admin', '管理者', '$2a$10$tFcbZ9WI/703ubavq9WGjee1NZrOdo6DSfiroD1NwRC/bRWS1AhJm', TRUE)
    -- passwordは`user01`のハッシュ値(BCrypt)です
,  ('user01', 'ユーザー01', '$2a$10$33odWXTBpUDrrXBuIym9I.JPd2aQAVaa2MX7TEp69GWDPPO1BOIhO', FALSE)
;

spring:
  datasource:
    driver-class-name: org.postgresql.Driver
    url: jdbc:postgresql://localhost:5432/db
    username: user
    password: password

/**
 * ユーザー情報を保持するエンティティクラス
 */
@Entity
@Table(name = "users")
data class User(
    @Id
    @Column(name = "id", nullable = false)
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    var id: Long = 0,

    @Column(name = "login_id", nullable = false)
    var loginId: String = "",

    @Column(name = "password", nullable = false)
    var loginPassword: String = "",

    @Column(name = "user_name", nullable = false)
    var displayName: String = "",

    @Column(name = "is_admin", nullable = false)
    var isAdmin: Boolean = false
): UserDetails {
    /**
     * ユーザーの権限や役割を返します
     * 今回は単純にユーザーか管理者かを返します
     * 管理者の場合はROLE_ADMIN、ユーザーの場合はROLE_USERを返します。
     *
     * 接頭辞にROLE_をつけることで、hasRoleで役割をチェックができます。
     * 例：hasRole("ADMIN")でROLE_ADMINの権限を持っているかチェックできます。
     *
     * ただ、hasAuthorityで権限をチェックすることも可能。
     * 例：hasAuthority("ROLE_ADMIN")でROLE_ADMINの権限を持っているかチェックできます。
     */
    override fun getAuthorities(): Collection<GrantedAuthority> {
        val role = if (isAdmin) "ROLE_ADMIN" else "ROLE_USER"
        return mutableListOf(SimpleGrantedAuthority(role))
    }

    /**
     * ログイン認証時に使用するパスワードを返します
     */
    override fun getPassword() = loginPassword

    /**
     * ログイン認証時に使用するユーザー名を返します
     */
    override fun getUsername() = loginId

    /**
     * アカウントの有効期限が切れているかどうかを返します
     * falseを返すとログインできません
     */
    override fun isAccountNonExpired() = true

    /**
     * アカウントがロックされているかどうかを返します
     * falseを返すとログインできません
     */
    override fun isAccountNonLocked() = true

    /**
     * 資格情報の有効期限が切れているかどうかを返します
     * falseを返すとログインできません
     */
    override fun isCredentialsNonExpired() = true

    /**
     * ユーザーが有効かどうかを返します
     * falseを返すとログインできません
     */
    override fun isEnabled() = true
}

@Repository
interface UserRepository: JpaRepository<User, Long> {
    fun findByLoginId(loginId: String): User?
}

/**
 * セキュリティ設定クラス
 */
@Configuration
class SecurityConfig {
    /**
     * パスワードエンコーダーのBean定義
     */
    @Bean
    fun passwordEncoder(): PasswordEncoder = BCryptPasswordEncoder()

    /**
     * ユーザー情報のBean定義
     */
    @Bean
    fun userDetailsService(userRepository: UserRepository): UserDetailsService {
        return UserDetailsService { username ->
            userRepository.findByLoginId(username)
                ?: throw IllegalArgumentException("ユーザーが見つかりません")
        }
    }

    /**
     * セキュリティ設定のBean定義
     */
    @Bean
    fun securityChain(httpSecurity: HttpSecurity): SecurityFilterChain {
        httpSecurity.authorizeHttpRequests { requests ->
            requests.requestMatchers("/login").permitAll() // ログインページは誰でもアクセス可能
            // url:admin以下はADMIN権限が必要
            // URLの文字列の影響で、コードハイライトが予期せぬ感じになってます・・・
            requests.requestMatchers("/admin/**").hasRole("ADMIN")  //*/ 
            requests.anyRequest().authenticated()  // その他のページは認証が必要
        }
        http.formLogin { form ->
            form.loginPage("/login") // カスタムログインページを設定
                .failureUrl("/login?error") // ログイン失敗時のリダイレクト先
                .defaultSuccessUrl("/home", true) // ログイン成功時のリダイレクト先
                .permitAll() // ログインページへのアクセスを許可
        }
        http.logout { logout ->
            logout.logoutUrl("/logout") // ログアウト時のURLを設定
                .logoutSuccessUrl("/login") // ログアウト成功後のリダイレクト先
                .permitAll() // ログアウトへのアクセスを許可
        }

        return httpSecurity.build()
    }
}

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Login</title>
</head>
<body>
<form th:action="@{/login}" method="post">
    <div>
        <label for="username">ログインID:</label>
        <input type="text" id="username" name="username">
    </div>
    <div>
        <label for="password">パスワード:</label>
        <input type="password" id="password" name="password">
    </div>
    <button type="submit">Login</button>

    <div th:if="${param.error}">
        ログインIDまたはパスワードが間違っています
    </div>
</form>
</body>
</html>

<!DOCTYPE html>
<!-- Spring Securityの機能を利用するための名前空間を追加 -->
<html lang="en" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/extras/spring-security">
<head>
    <meta charset="UTF-8">
    <title>Home</title>
</head>
<body>
<h1>Welcome!</h1>

<p>Home画面です</p>

<!-- ADMIN権限を持つユーザーのみ表示される -->
<a th:href="@{/admin}" sec:authorize="hasRole('ADMIN')">管理画面へ</a>

<form th:action="@{/logout}" method="post">
    <button type="submit">Logout</button>
</form>
</body>
</html>

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>管理画面</title>
</head>
<body>
<h1>管理画面</h1>

<span>管理画面です。</span>

<a th:href="@{/home}">Home画面へ</a>

<form th:action="@{/logout}" method="post">
  <button type="submit">Logout</button>
</form>
</body>
</html>

@Controller
class Controller {
    @GetMapping("/login")
    fun login() = "login"

    @GetMapping("/home")
    fun home() = "home"

    @GetMapping("/admin")
    fun admin() = "admin"
}