Spring Boot中的安全框架：让你的应用更安全！

🏆本文收录于「滚雪球学SpringBoot」专栏，手把手带你零基础入门Spring Boot，从入门到就业，助你早日登顶实现财富自由🚀；同时，欢迎大家关注&&收藏&&订阅！持续更新中，up！up！up！！

@TOC

环境说明：Windows 10 + IntelliJ IDEA 2021.3.2 + Jdk 1.8

📜 前言：为什么安全如此重要？

在现代应用开发中，安全问题变得越来越重要。无论是小型的个人博客，还是大型的企业级应用，保护用户的数据和隐私都是开发者必须关注的重点。在这里，Spring Boot提供了一系列强大的安全框架来帮助我们实现这一目标。🔐

尤其是Spring Security，它是Spring生态系统中最为强大和常用的安全框架之一。在Spring Boot应用中，我们可以通过Spring Security来实现认证、授权、加密等一系列安全需求，帮助我们抵御常见的安全攻击，如跨站脚本（XSS）、跨站请求伪造（CSRF）等。

今天，就让我们一起探索如何在Spring Boot中配置和使用Spring Security，提升我们应用的安全性！🚀

🛠️ Spring Boot与Spring Security集成

🌱 步骤1：添加Spring Security依赖

首先，我们需要在Spring Boot项目中加入Spring Security的依赖。在pom.xml中添加如下内容：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

这条依赖会自动引入Spring Security的核心功能，帮助我们快速启用安全功能。

💡 步骤2：默认的Spring Security配置

一旦添加了spring-boot-starter-security依赖，Spring Security会自动为我们配置基本的安全设置。默认情况下，Spring Security会启用一个基本的认证机制，所有的HTTP请求都需要认证。默认的用户名是user，密码是一个随机生成的值，每次启动应用时都会在控制台输出。

例如，启动Spring Boot应用时，控制台可能会显示：

Using generated security password: 12345678-abc1-2345-def6-7890abcd1234

这意味着，应用启动时默认会创建一个用户名为user、密码为生成的随机值的用户。如果你直接访问应用的任何页面，Spring Security会要求你输入这个用户名和密码。

🚀 步骤3：自定义用户认证

如果你想用自定义的方式来处理用户认证（例如从数据库获取用户信息，而不是默认的内存认证），你可以实现一个自定义的UserDetailsService。以下是如何进行设置的步骤：

1. 创建用户实体类

假设我们有一个User实体类，它的字段包括用户名、密码以及角色等：

import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;

import javax.persistence.Entity;
import javax.persistence.Id;
import java.util.Collection;
import java.util.Collections;

@Entity
public class User implements UserDetails {

    @Id
    private Long id;
    private String username;
    private String password;
    private String role;

    // Getters and Setters

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return Collections.singletonList(new SimpleGrantedAuthority(role));
    }

    @Override
    public String getPassword() {
        return password;
    }

    @Override
    public String getUsername() {
        return username;
    }

    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }
}

2. 创建UserDetailsService实现

接下来，我们需要创建一个UserDetailsService的实现，从数据库中加载用户数据：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found");
        }
        return user;
    }
}

3. 配置Spring Security

接下来，我们需要配置Spring Security来使用自定义的UserDetailsService。在SecurityConfig类中进行如下配置：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService customUserDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login", "/register").permitAll() // 无需认证的接口
                .anyRequest().authenticated() // 其他请求需要认证
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(customUserDetailsService).passwordEncoder(passwordEncoder());
    }

    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

• 通过http.formLogin()配置表单登录。
• 使用BCryptPasswordEncoder来加密密码。

🔥 步骤4：授权功能

Spring Security不仅提供了认证功能，还支持复杂的授权机制。你可以基于角色或权限来限制用户访问某些资源。

基于角色的授权

你可以通过@PreAuthorize注解来限制访问：

import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class AdminController {

    @GetMapping("/admin")
    @PreAuthorize("hasRole('ROLE_ADMIN')")
    public String getAdminPage() {
        return "Welcome to the Admin Page!";
    }
}

上述代码表示，只有具备ROLE_ADMIN角色的用户才能访问/admin这个页面。

基于权限的授权

如果你需要更细粒度的权限控制，可以通过定义权限进行授权：

@PreAuthorize("hasAuthority('ADMIN_PRIVILEGE')")
public String getAdminPage() {
    return "Admin with specific privilege!";
}

🛡️ 步骤5：防止常见安全漏洞

1. 防止跨站请求伪造（CSRF）
   Spring Security默认启用了CSRF保护，它能够有效防止跨站请求伪造攻击。如果你的应用需要禁用CSRF（比如在构建RESTful API时），可以这样做：

   http.csrf().disable();
   

2. 防止跨站脚本（XSS）
   Spring Security帮助防止了很多常见的XSS攻击，但你仍然需要确保在用户输入的内容中进行适当的过滤和转义，避免恶意脚本注入。

3. 防止SQL注入
   使用JPA或Spring Data Repository时，Spring会自动帮助我们避免SQL注入攻击。确保不直接拼接SQL查询，使用参数化查询是一个好习惯。

🏁 结语：让你的应用更安全！

通过Spring Boot与Spring Security的强大集成，我们可以轻松实现应用的认证、授权和安全防护。Spring Security的功能非常全面，除了我们提到的基本认证和授权外，它还支持密码加密、防止会话固定攻击、限制登录失败次数等高级安全功能。✨

希望今天的分享能够帮助你更好地理解和应用Spring Boot中的安全框架，让你开发的应用更加安全可靠。安全无小事，开发者在享受便捷的同时，也要时刻为用户的数据安全负责！🔐

快去试试吧，你的应用安全大升级！🚀

🧧福利赠与你🧧

  无论你是计算机专业的学生，还是对编程有兴趣的小伙伴，都建议直接毫无顾忌的学习此专栏「滚雪球学SpringBoot」，bug菌郑重承诺，凡是学习此专栏的同学，均能获取到所需的知识和技能，全网最快速入门SpringBoot，就像滚雪球一样，越滚越大， 无边无际，指数级提升。

最后，如果这篇文章对你有所帮助，帮忙给作者来个一键三连，关注、点赞、收藏，您的支持就是我坚持写作最大的动力。

同时欢迎大家关注公众号:「猿圈奇妙屋」 ，以便学习更多同类型的技术文章，免费白嫖最新BAT互联网公司面试题、4000G pdf电子书籍、简历模板、技术文章Markdown文档等海量资料。

✨️ Who am I?

我是bug菌，CSDN | 掘金 | InfoQ | 51CTO | 华为云 | 阿里云 | 腾讯云 等社区博客专家，C站博客之星Top30，华为云多年度十佳博主/价值贡献奖，掘金多年度人气作者Top40，掘金等各大社区平台签约作者，51CTO年度博主Top12，掘金/InfoQ/51CTO等社区优质创作者；全网粉丝合计 30w+；更多精彩福利点击这里；硬核微信公众号「猿圈奇妙屋」，欢迎你的加入！免费白嫖最新BAT互联网公司面试真题、4000G PDF电子书籍、简历模板等海量资料，你想要的我都有，关键是你不来拿。

-End-