1. Spring Security 简介

Spring Security 是 Spring 生态中功能强大且应用广泛的安全框架，它为基于 Spring 的应用程序提供了全面的身份认证（Authentication）和授权（Authorization）解决方案。无论是单体应用还是微服务架构，Spring Security 都能帮助开发者轻松应对 Web 安全、方法级安全、领域对象安全等复杂挑战。

2. 核心功能与特性

• 身份认证：支持多种认证方式，如表单登录、HTTP Basic、OAuth 2.0、JWT 等。
• 授权管理：提供基于角色（Role）、权限（Authority）、表达式（SpEL）的细粒度访问控制。
• 防护攻击：内置 CSRF、CORS、会话固定、点击劫持等常见 Web 攻击防护。
• 易于集成：与 Spring Boot、Spring MVC、Spring Data 等 Spring 项目无缝集成。
• 高度可扩展：允许开发者自定义认证逻辑、用户详情服务、密码加密器等组件。

3. 快速开始：一个简单的安全配置

以下是一个基于 Spring Boot 的最小化 Spring Security 配置示例，它会为所有请求启用 HTTP Basic 认证。

import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.core.userdetails.User; import org.springframework.security.core.userdetails.UserDetails; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.provisioning.InMemoryUserDetailsManager; import org.springframework.security.web.SecurityFilterChain; @Configuration @EnableWebSecurity public class BasicSecurityConfig { @Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests(auth -> auth .anyRequest().authenticated() // 所有请求都需要认证 ) .httpBasic(); // 启用 HTTP Basic 认证 return http.build(); } @Bean public UserDetailsService userDetailsService() { // 在内存中创建一个测试用户 UserDetails user = User.withDefaultPasswordEncoder() .username("user") .password("password") .roles("USER") .build(); return new InMemoryUserDetailsManager(user); } }

启动应用后，访问任何端点都需要输入用户名user和密码password。

4. 核心概念详解

4.1 SecurityContext 与 Authentication

SecurityContext持有当前线程的Authentication对象，它代表了当前用户的认证信息，包括主体（Principal）、凭证（Credentials）和权限（Authorities）。

4.2 UserDetails 与 UserDetailsService

UserDetails接口封装了用户的核心信息，UserDetailsService则负责根据用户名加载用户数据，是连接自定义用户存储（如数据库）的桥梁。

4.3 过滤器链（Filter Chain）

Spring Security 的本质是一个过滤器链，请求会依次经过多个安全过滤器（如UsernamePasswordAuthenticationFilter、BasicAuthenticationFilter），每个过滤器负责处理特定的安全任务。

5. 实战：基于数据库的认证与角色授权

实际项目中，用户信息通常存储在数据库中。以下示例展示了如何集成 Spring Data JPA 实现自定义的UserDetailsService。

import org.springframework.security.core.userdetails.UserDetails; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.core.userdetails.UsernameNotFoundException; import org.springframework.stereotype.Service; @Service public class CustomUserDetailsService implements UserDetailsService { private final UserRepository userRepository; public CustomUserDetailsService(UserRepository userRepository) { this.userRepository = userRepository; } @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { // 从数据库查询用户 UserEntity user = userRepository.findByUsername(username) .orElseThrow(() -> new UsernameNotFoundException("用户不存在: " + username)); // 将数据库实体转换为 Spring Security 所需的 UserDetails return org.springframework.security.core.userdetails.User.builder() .username(user.getUsername()) .password(user.getEncryptedPassword()) // 假设密码已加密 .roles(user.getRoles().toArray(new String[0])) // 设置角色 .build(); } }

配置 HTTP 安全规则，实现基于角色的访问控制：

@Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests(auth -> auth .requestMatchers("/admin/**").hasRole("ADMIN") // /admin 路径需要 ADMIN 角色 .requestMatchers("/user/**").hasAnyRole("USER", "ADMIN") // /user 路径需要 USER 或 ADMIN 角色 .requestMatchers("/public/**").permitAll() // /public 路径允许所有人访问 .anyRequest().authenticated() // 其他所有请求需要登录 ) .formLogin(); // 启用表单登录 return http.build(); }

6. 进阶主题与最佳实践

• 密码加密：务必使用PasswordEncoder（如 BCryptPasswordEncoder）对密码进行哈希存储，切勿明文保存。
• JWT 与无状态认证：在微服务或前后端分离架构中，可使用 JWT（JSON Web Token）实现无状态、可扩展的认证方案。
• 方法级安全：使用@PreAuthorize、@PostAuthorize等注解在服务层进行更细粒度的权限控制。
• CSRF 防护：在渲染表单时，务必包含 CSRF Token，对于纯 API 服务可考虑禁用 CSRF。
• 会话管理：合理配置会话超时、并发控制以及安全的会话固定保护策略。