Spring Security 的作用
Spring Security 是一个基于 Spring 框架的安全框架，用于为 Java 应用程序提供身份验证（Authentication）和授权（Authorization）功能。它的核心功能包括用户认证、权限控制、防止常见安全攻击（如 CSRF、XSS）等。主要作用如下：
- 身份验证：验证用户身份（如用户名密码、OAuth2、JWT 等）。
- 授权：控制用户对资源的访问权限（如角色、权限检查）。
- 安全防护：提供 CSRF 防护、Session 管理、HTTP 安全头配置等。
- 集成扩展：支持与 OAuth2、LDAP、SAML 等第三方认证协议集成。
Spring Security 的核心组件
- SecurityContextHolder：存储当前用户的安全上下文（如认证信息）。
- Authentication：封装用户的认证信息（如 Principal、Credentials、Authorities）。
- UserDetailsService：加载用户信息的接口，需自定义实现。
- PasswordEncoder：密码加密与验证（如 BCrypt、PBKDF2）。
- SecurityFilterChain：定义安全过滤规则（如 URL 权限、登录配置）。
常用方法及示例
基础配置示例
以下是一个基于 Spring Boot 的 Spring Security 配置示例，实现用户名密码登录和权限控制：
@Configuration @EnableWebSecurity public class SecurityConfig { @Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests(auth -> auth .requestMatchers("/public/**").permitAll() .requestMatchers("/admin/**").hasRole("ADMIN") .anyRequest().authenticated() ) .formLogin(form -> form .loginPage("/login") .defaultSuccessUrl("/home") .permitAll() ) .logout(logout -> logout .logoutSuccessUrl("/login?logout") .permitAll() ); return http.build(); } @Bean public UserDetailsService userDetailsService() { UserDetails user = User.builder() .username("user") .password(passwordEncoder().encode("password")) .roles("USER") .build(); UserDetails admin = User.builder() .username("admin") .password(passwordEncoder().encode("admin")) .roles("ADMIN") .build(); return new InMemoryUserDetailsManager(user, admin); } @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } }关键方法说明
authorizeHttpRequests
定义 URL 的访问权限规则，如：.permitAll()：允许所有用户访问。.hasRole("ADMIN")：仅允许 ADMIN 角色访问。.authenticated()：需登录后访问。
formLogin
配置表单登录：loginPage("/login")：自定义登录页面路径。defaultSuccessUrl("/home")：登录成功后跳转的页面。
logout
配置注销行为：logoutSuccessUrl("/login?logout")：注销后跳转的页面。
UserDetailsService
提供用户数据源（示例中使用内存存储，实际需对接数据库）。PasswordEncoder
使用BCryptPasswordEncoder加密密码，确保存储安全。
实际应用场景示例
自定义登录逻辑
若需从数据库加载用户信息，需实现UserDetailsService：
@Service public class CustomUserDetailsService implements UserDetailsService { @Autowired private UserRepository userRepository; @Override public UserDetails loadUserByUsername(String username) { User user = userRepository.findByUsername(username); if (user == null) { throw new UsernameNotFoundException("User not found"); } return new org.springframework.security.core.userdetails.User( user.getUsername(), user.getPassword(), AuthorityUtils.createAuthorityList(user.getRoles()) ); } }方法级权限控制
在 Service 或 Controller 方法上使用注解控制权限：
@PreAuthorize("hasRole('ADMIN')") @GetMapping("/admin/data") public String getAdminData() { return "Admin Data"; }需在配置类添加@EnableMethodSecurity：
@Configuration @EnableMethodSecurity public class MethodSecurityConfig { }总结
Spring Security 通过灵活的配置和丰富的扩展点，能够满足从基础登录到分布式认证的各种需求。核心步骤包括配置安全规则、实现用户数据源、定义密码加密策略，并通过注解或 URL 规则细化权限控制。实际项目中，通常会结合数据库、JWT 或 OAuth2 进一步扩展。
