Spring Boot 中的 Spring Security 是什么，如何使用

小咪咪 2023-10-13 12:39 41阅读 0赞

## Spring Boot 中的 Spring Security 是什么，如何使用 ##

在 Web 应用程序中，安全性是非常重要的，因为我们需要保护用户的隐私和数据安全。Spring Boot 提供了一个强大的安全框架，称为 Spring Security，它可以帮助我们保护 Web 应用程序的资源，并提供认证和授权的功能。

本文将介绍 Spring Boot 中的 Spring Security 的基本概念和使用方法，包括如何配置、如何实现认证和授权等。

![在这里插入图片描述][d41c8ee053d9421891d2996c562606d7.png]

### Spring Security 的基本概念 ###

Spring Security 是一个基于 Spring 的安全框架，它提供了一组集成的安全性功能，包括认证、授权、加密、会话管理等。它的主要目标是保护 Web 应用程序的资源，防止未经授权的访问和数据泄露。

#### 认证 ####

认证是验证用户身份的过程，通常需要用户提供用户名和密码等凭据。Spring Security 提供了多种认证方式，包括基于表单、HTTP、OAuth2 等。它还支持多种身份验证机制，例如用户名密码、LDAP、数据库等。

#### 授权 ####

授权是验证用户是否有权限访问指定资源的过程。Spring Security 提供了基于角色和权限的授权机制，可以根据用户的角色和权限控制访问资源的级别。

#### 过滤器链 ####

Spring Security 的核心是一个过滤器链，它是一组过滤器的集合，用于处理 Web 请求和响应。每个过滤器都有特定的功能，例如身份验证、授权、会话管理等。Spring Security 的过滤器链是由多个过滤器组成的，其中每个过滤器都有特定的功能。

#### 安全上下文 ####

安全上下文是 Spring Security 的核心组件之一，它包含了当前用户的身份认证信息和授权信息。安全上下文是一个线程本地变量，用于在整个应用程序中传递身份认证和授权信息。

### Spring Security 的使用 ###

#### 添加依赖 ####

首先，我们需要在项目的依赖中添加 Spring Security 的依赖：

<dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

上面的依赖将会自动包含 Spring Security 的必要依赖，并自动配置了 Spring Security 的过滤器链。

#### 配置 Spring Security ####

Spring Security 的配置可以通过 Java 配置和 XML 配置两种方式实现。在本文中，我们将使用 Java 配置来实现 Spring Security 的配置。

首先，我们需要创建一个继承自 `WebSecurityConfigurerAdapter` 的配置类，并重写其中的 `configure` 方法。例如，我们创建一个名为 `SecurityConfig` 的配置类，代码如下：

@Configuration
    @EnableWebSecurity
    public class SecurityConfig extends WebSecurityConfigurerAdapter {
        
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http
                .authorizeRequests()
                    .antMatchers("/admin/**").hasRole("ADMIN")
                    .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")
                    .anyRequest().authenticated()
                    .and()
                .formLogin()
                    .loginPage("/login")
                    .defaultSuccessUrl("/")
                    .permitAll()
                    .and()
                .logout()
                    .logoutUrl("/logout")
                    .permitAll();
        }
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        
            auth.inMemoryAuthentication()
                    .withUser("admin").password("{noop}admin123").roles("ADMIN")
                    .and()
                    .withUser("user").password("{noop}user123").roles("USER");
        }
    }

在上面的配置类中，我们使用 `@Configuration` 和 `@EnableWebSecurity` 注解来启用 Spring Security。`configure` 方法用于配置 Spring Security 的过滤器链，其中：

*  `authorizeRequests` 方法用于定义访问授权规则，例如 `.antMatchers("/admin/**").hasRole("ADMIN")` 表示访问 `/admin/**` 的 URL 需要具有 `ADMIN` 角色的用户才能访问。
 *  `anyRequest().authenticated()` 表示其他未定义的 URL 需要进行身份认证才能访问。
 *  `formLogin` 方法用于配置表单登录，包括登录页面、默认成功页面等。
 *  `logout` 方法用于配置注销登录功能。

在上面的配置类中，我们还重写了 `configure(AuthenticationManagerBuilder auth)` 方法，用于配置用户认证信息。这里我们使用 `inMemoryAuthentication()` 方法添加了两个用户，分别具有 `ADMIN` 和 `USER` 角色。

#### 使用 Spring Security ####

在上面的配置完成之后，我们就可以使用 Spring Security 保护我们的 Web 应用程序了。例如，我们可以在控制器中使用 `@PreAuthorize` 注解来限制用户角色和权限的访问：

@Controller
    public class HomeController {
        
        @GetMapping("/")
        public String home() {
        
            return "home";
        }
    
        @GetMapping("/admin")
        @PreAuthorize("hasRole('ADMIN')")
        public String admin() {
        
            return "admin";
        }
    
        @GetMapping("/user")
        @PreAuthorize("hasAnyRole('ADMIN', 'USER')")
        public String user() {
        
            return "user";
        }
    }

在上面的控制器中，我们使用 `@PreAuthorize` 注解来限制用户角色和权限的访问。例如，`@PreAuthorize("hasRole('ADMIN')")` 表示只有具有 `ADMIN` 角色的用户才能访问该方法。

#### 自定义认证和授权 ####

如果默认的认证和授权方式无法满足我们的需求，我们可以自定义认证和授权。例如，我们可以创建一个实现了 `UserDetailsService` 接口的服务类来实现自定义认证：

@Service
    public class CustomUserDetailsService implements UserDetailsService {
        
        @Autowired
        private UserRepository userRepository;
    
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        
            User user = userRepository.findByUsername(username);
            if (user == null) {
        
                throw new UsernameNotFoundException(username);
            }
            return new org.springframework.security.core.userdetails.User(
                    user.getUsername(),
                    user.getPassword(),
                    AuthorityUtils.createAuthorityList(user.getRoles().toArray(new String[0]))
            );
        }
    }

在上面的服务类中，我们使用 `UserRepository` 来查询用户信息，并将用户信息转换为 `UserDetails` 对象返回。在返回 `UserDetails` 对象时，我们可以使用 `AuthorityUtils.createAuthorityList` 方法将用户角色转换为授权列表。

类似地，我们也可以创建一个实现了 `AccessDecisionManager` 接口的服务类来实现自定义授权：

@Service
    public class CustomAccessDecisionManager implements AccessDecisionManager {
        
        @Override
        public void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes)
                throws AccessDeniedException, InsufficientAuthenticationException {
        
            if (configAttributes == null) {
        
                return;
            }
            for (ConfigAttribute configAttribute : configAttributes) {
        
                String needRole = configAttribute.getAttribute();
                for (GrantedAuthority grantedAuthority : authentication.getAuthorities()) {
        
                    if (needRole.equals(grantedAuthority.getAuthority())) {
        
                        return;
                    }
                }
            }
            throw new AccessDeniedException("Access is denied");
        }
    
        @Override
        public boolean supports(ConfigAttribute attribute) {
        
            return true;
        }
    
        @Override
        public boolean supports(Class<?> clazz) {
        
            return true;
        }
    }

在上面的服务类中，我们使用 `AccessDecisionManager` 接口的 `decide` 方法来判断用户是否有访问资源的权限。如果用户具有访问资源的权限，则返回；否则抛出 `AccessDeniedException` 异常。

### 总结 ###

本文介绍了 Spring Boot 中的 Spring Security 的基本概念和使用方法，包括认证、授权、过滤器链、安全上下文等。我们还演示了如何使用 Java 配置来配置 Spring Security，并使用 `@PreAuthorize` 注解来限制用户角色和权限的访问。最后，我们还介绍了如何自定义认证和授权来满足我们的需

[d41c8ee053d9421891d2996c562606d7.png]: https://img-blog.csdnimg.cn/d41c8ee053d9421891d2996c562606d7.png