Spring Boot 安全性：使用 Spring Security 实现用户认证与权限管理！

🏆本文收录于「滚雪球学SpringBoot」专栏(全网一个名)，手把手带你零基础入门Spring Boot，从入门到就业，助你早日登顶实现财富自由🚀；同时，欢迎大家关注&&收藏&&订阅！持续更新中，up！up！up！！

环境说明：Windows 10 + IntelliJ IDEA 2021.3.2 + Jdk 1.8

🚀 前言

  在现代 Web 开发中，安全性是每个应用程序不可忽视的重要方面。无论是用户认证、授权控制，还是防止恶意攻击，安全性都是设计高质量应用时必须考虑的核心问题。而 Spring Security 是一个强大的安全框架，它为 Spring Boot 提供了完整的认证和授权功能，帮助我们轻松实现应用程序的安全管理。

  本文将介绍 Spring Security 的基础内容，讲解如何实现 基本认证与表单登录，以及如何进行 权限与角色管理。你将了解如何配置安全性，保护你的应用免受不良访问，并为不同角色的用户配置不同权限，最终构建一个高安全性的 Spring Boot 应用。

📜 目录

1. 🛡️ Spring Security 简介

   • 1.1 什么是 Spring Security？
   • 1.2 Spring Security 的基本概念
   • 1.3 Spring Security 的工作流程

2. 🔐 基本认证与表单登录

   • 2.1 Spring Boot 集成 Spring Security
   • 2.2 实现基本认证
   • 2.3 实现表单登录

3. 🧑‍💻 配置权限与角色管理

   • 3.1 定义用户角色与权限
   • 3.2 基于角色的访问控制
   • 3.3 配置 URL 访问权限
   • 3.4 自定义权限

4. 🛠️ Spring Security 配置示例

   • 4.1 基本的 Spring Security 配置
   • 4.2 结合数据库存储用户信息
   • 4.3 完整示例：实现用户注册、登录及权限控制

5. 📦 总结：提升应用安全性与灵活性

🛡️ 1. Spring Security 简介

1.1 什么是 Spring Security？

Spring Security 是一个专门用于保护 Java 应用程序的安全框架，广泛应用于 Spring 生态系统中。它可以帮助我们在应用程序中轻松实现身份验证、授权控制、会话管理、攻击防护等安全功能。Spring Security 提供了一个全面的、安全的解决方案，使得开发者可以专注于业务逻辑，而不必担心安全性问题。

Spring Security 可以与 Spring Boot 无缝集成，为开发者提供强大的安全配置功能。

1.2 Spring Security 的基本概念

Spring Security 中涉及的几个核心概念包括：

• Authentication（认证）：确认用户的身份，通常通过用户名和密码来验证。
• Authorization（授权）：在认证成功后，根据用户的角色和权限决定是否允许用户访问特定资源。
• Principal（主体）：指代当前认证的用户。
• GrantedAuthority（权限）：指用户拥有的权限，通常通过角色来进行管理。

1.3 Spring Security 的工作流程

Spring Security 的工作流程大致如下：

1. 认证流程：当用户尝试访问受保护资源时，Spring Security 会通过身份验证机制（如基本认证或表单登录）来验证用户的身份。
2. 授权流程：一旦用户成功认证，Spring Security 会根据其角色和权限决定是否允许用户访问特定的 URL 或资源。
3. 会话管理：Spring Security 会管理用户会话，确保会话有效并防止会话劫持。
4. 攻击防护：Spring Security 提供多种防护机制，如 CSRF（跨站请求伪造）、XSS（跨站脚本攻击）等。

🔐 2. 基本认证与表单登录

2.1 Spring Boot 集成 Spring Security

要在 Spring Boot 项目中集成 Spring Security，首先需要在 pom.xml 文件中添加 spring-boot-starter-security 依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

Spring Boot 会自动配置 Spring Security 的一些默认设置，通常我们可以直接通过修改配置来定制化 Spring Security 的行为。

2.2 实现基本认证

基本认证（Basic Authentication） 是一种非常简单的认证方式，用户通过 HTTP 请求头中的 Authorization 字段传递用户名和密码。Spring Security 默认支持这种认证方式。

示例：启用基本认证

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login", "/register").permitAll()  // 放行登录和注册页面
                .anyRequest().authenticated()  // 其他请求需要认证
            .and()
            .httpBasic();  // 启用基本认证
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password(passwordEncoder().encode("password")).roles("USER")
                .and()
                .withUser("admin").password(passwordEncoder().encode("admin")).roles("ADMIN");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在上述配置中，我们启用了基本认证，并配置了两个内存中的用户：user 和 admin。此外，我们还配置了一个 BCryptPasswordEncoder 来加密用户密码。

当你访问任何受保护的资源时，浏览器会弹出基本认证框，要求输入用户名和密码。

2.3 实现表单登录

表单登录（Form Login） 是 Web 应用中最常见的认证方式。用户通过输入用户名和密码提交表单，然后由服务器验证用户的身份。

示例：启用表单登录

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login", "/register").permitAll()  // 放行登录和注册页面
                .anyRequest().authenticated()  // 其他请求需要认证
            .and()
            .formLogin()
                .loginPage("/login")  // 自定义登录页面
                .permitAll()  // 允许所有用户访问登录页面
            .and()
            .logout()
                .permitAll();  // 允许所有用户注销
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password(passwordEncoder().encode("password")).roles("USER")
                .and()
                .withUser("admin").password(passwordEncoder().encode("admin")).roles("ADMIN");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在这个配置中，我们启用了表单登录，并设置了自定义的登录页面（/login）。用户可以通过 POST 请求提交表单数据进行认证。

🧑‍💻 3. 配置权限与角色管理

3.1 定义用户角色与权限

在 Spring Security 中，权限通常通过角色来进行管理。角色是权限的集合，用户可以拥有多个角色，而每个角色包含多个权限。

示例：定义用户角色与权限

在上述配置中，我们已经为用户定义了两个角色：USER 和 ADMIN。你可以根据应用的需求为每个角色分配不同的权限。例如，USER 角色只能访问普通页面，而 ADMIN 角色可以访问管理页面。

3.2 基于角色的访问控制

Spring Security 允许你为不同的 URL 路径配置基于角色的访问控制。使用 antMatchers 方法，可以指定哪些 URL 需要特定的角色才能访问。

示例：基于角色的访问控制

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")  // 只有 ADMIN 角色才能访问 /admin/** 路径
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")  // USER 和 ADMIN 角色都能访问 /user/** 路径
                .anyRequest().authenticated()  // 其他请求需要认证
            .and()
            .formLogin()
                .permitAll()
            .and()
            .logout()
                .permitAll();
    }
}

3.3 配置 URL 访问权限

通过 antMatchers，你可以灵活地设置哪些 URL 需要哪些角色。例如，管理员可以访问 /admin 路径，而普通用户只能访问 /user 路径。

3.4 自定义权限

如果应用中需要更复杂的权限控制（例如，细粒度的权限控制），你可以使用 Spring Expression Language (SpEL) 来实现基于权限的访问控制。

示例：自定义权限控制

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasAuthority("ROLE_ADMIN")
                .antMatchers("/user/**").hasAuthority("ROLE_USER")
                .anyRequest().authenticated()
            .and()
            .formLogin().permitAll()
            .and()
            .logout().permitAll();
    }
}

在这个例子中，ROLE_ADMIN 和 ROLE_USER 是用户的自定义权限，而不仅仅是角色。

🛠️ 4. Spring Security 配置示例

4.1 基本的 Spring Security 配置

通过在 application.properties 或 application.yml 文件中配置基本的 Spring Security 属性，可以进一步定制应用的安全设置。

spring.security.user.name=user
spring.security.user.password=password
spring.security.user.roles=USER

4.2 结合数据库存储用户信息

你还可以通过 JDBC 或 LDAP 等方式将用户数据存储在数据库中，并通过 Spring Security 进行认证和授权。

4.3 完整示例：实现用户注册、登录及权限控制

通过结合 Spring Boot 和 Spring Security，可以实现完整的用户管理系统，包括用户注册、登录、角色权限分配等功能。

📦 总结：提升应用安全性与灵活性

通过 Spring Security，我们能够为 Spring Boot 应用程序提供全面的安全解决方案，从基本认证到复杂的权限控制，Spring Security 能够有效保护应用的安全性，并为开发者提供灵活的安全配置。通过掌握 基本认证与表单登录、权限与角色管理，你将能够构建一个高安全性的 Web 应用。

希望这篇文章能够帮助你更好地理解和配置 Spring Boot 的安全性，让你的应用更安全、更灵活！

🧧福利赠与你🧧

  无论你是计算机专业的学生，还是对编程有兴趣的小伙伴，都建议直接毫无顾忌的学习此专栏「滚雪球学SpringBoot」专栏(全网一个名)，bug菌郑重承诺，凡是学习此专栏的同学，均能获取到所需的知识和技能，全网最快速入门SpringBoot，就像滚雪球一样，越滚越大， 无边无际，指数级提升。

  最后，如果这篇文章对你有所帮助，帮忙给作者来个一键三连，关注、点赞、收藏，您的支持就是我坚持写作最大的动力。

  同时欢迎大家关注公众号:「猿圈奇妙屋」 ，以便学习更多同类型的技术文章，免费白嫖最新BAT互联网公司面试题、4000G pdf电子书籍、简历模板、技术文章Markdown文档等海量资料。

✨️ Who am I?

我是bug菌，CSDN | 掘金 | InfoQ | 51CTO | 华为云 | 阿里云 | 腾讯云 等社区博客专家，C站博客之星Top30，华为云多年度十佳博主/价值贡献奖，掘金多年度人气作者Top40，掘金等各大社区平台签约作者，51CTO年度博主Top12，掘金/InfoQ/51CTO等社区优质创作者；全网粉丝合计 30w+；更多精彩福利点击这里；硬核微信公众号「猿圈奇妙屋」，欢迎你的加入！免费白嫖最新BAT互联网公司面试真题、4000G PDF电子书籍、简历模板等海量资料，你想要的我都有，关键是你不来拿。

-End-