Spring Boot 安全与认证：守护你的应用免受攻击！

🏆本文收录于「滚雪球学SpringBoot」专栏(全网一个名)，手把手带你零基础入门Spring Boot，从入门到就业，助你早日登顶实现财富自由🚀；同时，欢迎大家关注&&收藏&&订阅！持续更新中，up！up！up！！

环境说明：Windows 10 + IntelliJ IDEA 2021.3.2 + Jdk 1.8

🔐 前言 🛡️

在现代的Web开发中，安全性是每个应用的生命线，特别是当你的应用需要处理用户的敏感数据时。Spring Boot为我们提供了一系列的工具和框架，来确保我们的应用能够安全地进行身份认证、权限授权和数据保护。在这篇文章中，我们将深入探讨如何在Spring Boot应用中实现强大的安全功能，从认证和授权到更高级的JWT认证机制、OAuth2集成和基于角色的访问控制。🔑

🛡️ 使用Spring Security进行Spring Boot的认证与授权 🔑

🌟 什么是Spring Security？

Spring Security是Spring框架的一个子项目，旨在为Spring应用提供认证、授权、CSRF保护、会话管理等功能。它是Spring生态系统中最重要的安全框架，能够轻松地与Spring Boot集成。无论是基于用户名和密码的简单认证，还是复杂的OAuth2和JWT认证，Spring Security都能轻松应对。

Spring Security的核心功能包括：

1. 认证：验证用户身份。
2. 授权：根据用户角色和权限控制访问。
3. 防止攻击：如防止跨站请求伪造（CSRF）等。

🚀 如何在Spring Boot中启用Spring Security

要使用Spring Security，只需要在Spring Boot项目中引入相关依赖即可。以下是一个简单的pom.xml配置：

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
</dependencies>

添加完依赖后，Spring Boot会自动启用Spring Security，并对所有的HTTP请求启用基本的安全保护（例如，所有请求都需要认证）。

📜 自定义安全配置

Spring Security通过@EnableWebSecurity注解和WebSecurityConfigurerAdapter类来配置安全策略。以下是一个简单的配置示例，展示了如何实现基于用户名和密码的认证：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login", "/register").permitAll() // 允许访问登录和注册页面
                .anyRequest().authenticated() // 其余请求都需要认证
            .and()
            .formLogin() // 使用表单登录
                .loginPage("/login") // 自定义登录页面
                .permitAll() // 允许所有用户访问登录页面
            .and()
            .logout()
                .permitAll(); // 允许所有用户登出
    }
}

🔑 登录与访问控制

在这个配置中，我们做了如下设置：

1. 允许访问/login和/register页面，不需要认证。
2. 其他所有的请求都需要认证，只有登录的用户才能访问。
3. 自定义了登录页面，并允许所有用户访问登录页面。

📜 代码解析

• @Configuration：标注该类是一个配置类，Spring会加载它来设置应用的安全配置。

• @EnableWebSecurity：启用Spring Security的Web安全配置。

• authorizeRequests()：用于配置HTTP请求的访问权限。

  • antMatchers("/login", "/register").permitAll()：允许/login和/register页面不需要认证。
  • anyRequest().authenticated()：表示除登录和注册页面外，所有其他请求都需要认证。

• formLogin()：启用表单登录。你可以自定义登录页面。

  • loginPage("/login")：自定义登录页面路径。
  • permitAll()：允许所有用户访问登录页面。

• logout()：配置登出功能，允许所有用户登出。

🏆 基于JWT的Spring Boot认证机制 🔑

🌍 什么是JWT？

JWT（JSON Web Token）是一种用于在用户与服务器之间安全传输信息的方式。它通常用于实现无状态的认证机制。与传统的会话认证不同，JWT认证通过在每次请求中携带Token来验证用户身份，而无需在服务器端保存会话信息。

🚀 如何在Spring Boot中使用JWT

JWT机制的核心思想是将用户的身份信息存储在一个加密的Token中，然后将该Token返回给客户端，客户端每次请求时都会携带这个Token，服务器通过验证Token来进行认证。

1. 添加JWT依赖

首先，添加JWT的依赖：

<dependencies>
    <dependency>
        <groupId>io.jsonwebtoken</groupId>
        <artifactId>jjwt</artifactId>
        <version>0.11.5</version>
    </dependency>
</dependencies>

2. 创建JWT生成工具类

JWT生成工具类将用户的基本信息编码成JWT并返回给客户端。代码如下：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;

public class JwtUtil {

    private String secretKey = "mySecretKey";  // 密钥，实际应用中应该存放在安全的地方

    // 生成JWT
    public String generateToken(String username) {
        return Jwts.builder()
                .setSubject(username)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60))  // 设置过期时间
                .signWith(SignatureAlgorithm.HS256, secretKey)  // 使用HS256算法加密
                .compact();
    }

    // 解析JWT
    public String extractUsername(String token) {
        return Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(token)
                .getBody()
                .getSubject();
    }
}

📜 代码解析

• generateToken(String username)：生成JWT的方法。它通过Jwts.builder()构建JWT对象，设置了subject（通常是用户的用户名或ID）、issuedAt（Token生成时间）、expiration（Token过期时间）等信息。最后使用密钥进行签名。
• extractUsername(String token)：从JWT中提取用户名。通过Jwts.parser()解析Token并使用密钥验证。

3. JWT过滤器

为了确保每次请求都携带JWT，我们需要创建一个过滤器来拦截请求并验证JWT：

import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

    private JwtUtil jwtUtil;

    public JwtAuthenticationFilter(JwtUtil jwtUtil) {
        this.jwtUtil = jwtUtil;
    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        String token = request.getHeader("Authorization").substring(7);  // 获取Bearer Token
        String username = jwtUtil.extractUsername(token);
        // 验证Token，获取用户信息等
    }
}

📜 代码解析

• JwtAuthenticationFilter：自定义过滤器继承了UsernamePasswordAuthenticationFilter，该过滤器将拦截所有请求，获取Authorization头中的JWT Token，并验证其合法性。
• substring(7)：因为JWT Token通常以Bearer开头，所以通过substring(7)去掉Bearer，得到实际的Token。

🔑 Spring Boot与OAuth2的集成实现 🔐

OAuth2是一种授权协议，允许用户通过第三方应用授权来访问受保护的资源。在现代应用中，OAuth2通常用于实现社交登录（例如使用Google、Facebook等账户登录）以及授权访问API。

🚀 如何集成OAuth2认证

Spring Boot与Spring Security提供了非常方便的集成方式，可以通过OAuth2客户端快速实现第三方登录。

1. 添加依赖

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-oauth2-client</artifactId>
    </dependency>
</dependencies>

2. 配置application.yml

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: YOUR_GOOGLE_CLIENT_ID
            client-secret: YOUR_GOOGLE_CLIENT_SECRET
            scope: profile, email
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
        provider:
          google:
            authorization-uri: https://accounts.google.com/o/oauth2/auth
            token-uri: https://oauth2.googleapis.com/token
            user-info-uri: https://www.googleapis.com/oauth2/v3/userinfo

3. OAuth2认证

Spring Boot将自动处理OAuth2认证，你可以通过访问/login来进行OAuth2授权。当用户成功授权后，Spring Boot会自动将用户信息绑定到OAuth2AuthenticationToken中，你可以在Controller中获取该用户的信息。

🏅 基于角色的访问控制与权限管理 🎫

🌟 什么是角色和权限控制？

基于角色的访问控制（RBAC）是通过为用户分配角色并根据角色控制访问权限的一种方法。每个角色代表一组权限，而权限控制了用户是否可以访问某些资源或执行某些操作。

在Spring Security中，你可以通过@PreAuthorize或@Secured注解来实现基于角色的权限控制。

🚀 实现基于角色的访问控制

import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class RoleBasedController {

    // 仅允许ADMIN角色的用户访问
    @GetMapping("/admin")
    @PreAuthorize("hasRole('ADMIN')")
    public String adminPage() {
        return "Welcome Admin!";
    }

    // 仅允许USER角色的用户访问
    @GetMapping("/user")
    @PreAuthorize("hasRole('USER')")
    public String userPage() {
        return "Welcome User!";
    }
}

📜 代码解析

• @PreAuthorize("hasRole('ADMIN')")：只有当用户具有ADMIN角色时，才能访问/admin路径。同理，/user路径只有USER角色的用户才能访问。
• @PreAuthorize：Spring Security提供的注解，用于基于方法级别的权限控制。

🏁 总结 🎉

在这篇文章中，我们深入探讨了如何使用Spring Boot实现强大的安全功能。从基本的Spring Security认证和授权，到JWT认证机制、OAuth2集成和基于角色的权限控制，Spring Boot提供了一整套灵活且强大的安全工具，帮助你保护你的应用免受攻击。

通过Spring Boot，你不仅可以确保你的应用具备强大的安全性，还能简化开发流程，让你更专注于应用的核心业务逻辑。安全，永远是开发者无法忽视的部分，而Spring Boot的安全机制，能让你更加自信地面对用户数据的保护。

🧧福利赠与你🧧

  无论你是计算机专业的学生，还是对编程有兴趣的小伙伴，都建议直接毫无顾忌的学习此专栏「滚雪球学SpringBoot」专栏(全网一个名)，bug菌郑重承诺，凡是学习此专栏的同学，均能获取到所需的知识和技能，全网最快速入门SpringBoot，就像滚雪球一样，越滚越大， 无边无际，指数级提升。

  最后，如果这篇文章对你有所帮助，帮忙给作者来个一键三连，关注、点赞、收藏，您的支持就是我坚持写作最大的动力。

  同时欢迎大家关注公众号:「猿圈奇妙屋」 ，以便学习更多同类型的技术文章，免费白嫖最新BAT互联网公司面试题、4000G pdf电子书籍、简历模板、技术文章Markdown文档等海量资料。

✨️ Who am I?

我是bug菌(全网一个名)，CSDN | 掘金 | InfoQ | 51CTO | 华为云 | 阿里云 | 腾讯云 等社区博客专家，C站博客之星Top30，华为云多年度十佳博主/价值贡献奖，掘金多年度人气作者Top40，掘金等各大社区平台签约作者，51CTO年度博主Top12，掘金/InfoQ/51CTO等社区优质创作者；全网粉丝合计 30w+；更多精彩福利点击这里；硬核微信公众号「猿圈奇妙屋」，欢迎你的加入！免费白嫖最新BAT互联网公司面试真题、4000G PDF电子书籍、简历模板等海量资料，你想要的我都有，关键是你不来拿。

-End-