Spring Boot 安全认证与授权核心解析

接下来需要创建安全配置类。虽然新版 Spring Security 推荐使用 SecurityFilterChain Bean，但在许多现有项目中仍可见到继承 WebSecurityConfigurerAdapter 的配置方式。以下是一个典型的内存认证配置示例：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.password.NoOpPasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 配置内存中的用户信息，密码使用明文编码器（生产环境请更换为 BCrypt）
        auth.inMemoryAuthentication()
            .passwordEncoder(NoOpPasswordEncoder.getInstance())
            .withUser("admin").password("admin123").roles("ADMIN")
            .and()
            .withUser("user").password("user123").roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasRole("USER")
            .antMatchers("/").permitAll()
            .and()
            .formLogin().loginPage("/login").permitAll()
            .and()
            .logout().permitAll();
    }
}

三、认证方案详解

1. 基于内存的认证

适用于开发测试或小型系统。如上例所示，直接在代码中定义用户账号和密码。这种方式简单快捷，但重启后数据会丢失，不适合持久化存储敏感信息。

2. 基于数据库的认证

生产环境通常将用户信息存储在数据库中。这需要引入 JPA 和数据库驱动，并实现 UserDetailsService 接口来加载用户详情。

依赖补充：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-jpa</artifactId>
</dependency>
<dependency>
    <groupId>com.h2database</groupId>
    <artifactId>h2</artifactId>
    <scope>runtime</scope>
</dependency>

实体类定义：

import javax.persistence.*;

@Entity
@Table(name = "user")
public class User {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    private String username;
    private String password;
    private String role;
    // Getter 和 Setter 省略
}

自定义 UserDetailsService：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;
import java.util.ArrayList;
import java.util.List;

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在：" + username);
        }
        List<GrantedAuthority> authorities = new ArrayList<>();
        authorities.add(new SimpleGrantedAuthority("ROLE_" + user.getRole()));
        return org.springframework.security.core.userdetails.User.builder()
                .username(user.getUsername())
                .password(user.getPassword())
                .authorities(authorities)
                .build();
    }
}

在配置类中注入该 Service 即可：

@Autowired
private UserDetailsServiceImpl userDetailsService;

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService);
}

四、授权机制

Spring Security 支持多种授权策略，最常用的是基于角色的访问控制（RBAC）。

• 基于角色（Role）：通过 hasRole("ADMIN") 判断用户是否拥有特定角色。
• 基于权限（Permission）：更细粒度的控制，例如 hasAnyAuthority("READ", "WRITE")。

在 HttpSecurity 配置中，我们通常结合 URL 路径进行拦截规则设置。根路径允许匿名访问，而管理后台则限制为管理员。

五、实际应用场景

在实际业务中，安全模块通常包含登录、登出、注册等功能。

控制器示例：

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;

@Controller
public class SecurityController {
    @GetMapping("/")
    public String index() { return "index"; }

    @GetMapping("/login")
    public String login() { return "login"; }

    @PostMapping("/register")
    public String registerUser(String username, String password, String role) {
        // 保存用户逻辑
        return "redirect:/login";
    }
}

前端视图（Thymeleaf）： 登录表单需提交至 /login，登出链接指向 /logout。页面跳转逻辑由 Spring Security 自动处理重定向。

六、总结

掌握 Spring Boot 与 Spring Security 的集成，关键在于理解其配置链式调用机制以及用户服务接口的实现。无论是简单的内存验证还是复杂的数据库认证，核心流程都是相通的。建议在生产环境中务必使用强密码加密算法（如 BCrypt），并定期审查安全配置，确保系统防护到位。