Spring Boot 安全认证与授权详解

接下来需要编写安全配置类。这里我们继承 WebSecurityConfigurerAdapter（注：新版推荐实现 SecurityFilterChain Bean，但为保持示例清晰沿用经典方式），定义内存中的用户信息。

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.password.NoOpPasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .passwordEncoder(NoOpPasswordEncoder.getInstance())
            .withUser("admin").password("admin123").roles("ADMIN")
            .and()
            .withUser("user").password("user123").roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasRole("USER")
            .antMatchers("/").permitAll()
            .and()
            .formLogin().loginPage("/login").permitAll()
            .and()
            .logout().permitAll();
    }
}

配合简单的控制器和视图模板，即可运行一个具备基础登录功能的 Demo。

认证方式详解

基于内存的认证

这种方式适合开发测试环境。我们在配置类中直接定义用户名和密码。虽然方便，但不适合生产环境，因为数据重启后会丢失。

基于数据库的认证

生产环境中，用户信息通常存储在数据库中。我们需要引入 JPA 和数据库驱动（如 H2 或 MySQL）。

1. 实体类与 Repository

import javax.persistence.*;

@Entity
@Table(name = "user")
public class User {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    private String username;
    private String password;
    private String role;

    // Getter and Setter methods omitted for brevity
    public Long getId() { return id; }
    public void setId(Long id) { this.id = id; }
    public String getUsername() { return username; }
    public void setUsername(String username) { this.username = username; }
    public String getPassword() { return password; }
    public void setPassword(String password) { this.password = password; }
    public String getRole() { return role; }
    public void setRole(String role) { this.role = role; }
}

import org.springframework.data.jpa.repository.JpaRepository;
import org.springframework.stereotype.Repository;

@Repository
public interface UserRepository extends JpaRepository<User, Long> {
    User findByUsername(String username);
}

2. 自定义 UserDetailsService

这是连接数据库与 Spring Security 的关键。我们需要实现 UserDetailsService 接口，告诉框架如何从数据库加载用户详情。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;
import java.util.ArrayList;
import java.util.List;

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在：" + username);
        }
        List<GrantedAuthority> authorities = new ArrayList<>();
        authorities.add(new SimpleGrantedAuthority("ROLE_" + user.getRole()));
        return org.springframework.security.core.userdetails.User.builder()
                .username(user.getUsername())
                .password(user.getPassword())
                .authorities(authorities)
                .build();
    }
}

3. 更新安全配置

在配置类中注入这个 Service，并指定密码编码器。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private UserDetailsServiceImpl userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return NoOpPasswordEncoder.getInstance(); // 生产环境请使用 BCrypt
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasRole("USER")
            .antMatchers("/").permitAll()
            .and()
            .formLogin().loginPage("/login").permitAll()
            .and()
            .logout().permitAll();
    }
}

授权管理策略

Spring Security 支持多种授权维度，最常用的是基于角色（Role-Based）和基于权限（Permission-Based）。

• 基于角色：通过 hasRole("ADMIN") 控制，适用于粗粒度的权限划分，如管理员与普通用户。
• 基于权限：通过 hasAnyAuthority("READ", "WRITE") 控制，更细粒度，常用于 API 级别的访问控制。

在实际项目中，两者常结合使用，确保只有特定身份的用户才能访问特定资源。

实际应用场景

在真实业务中，Spring Security 的应用非常广泛：

1. 登录与登出：拦截未认证请求，重定向至登录页，处理登出会话。
2. 角色管理：动态分配用户角色，控制菜单可见性或功能按钮。
3. 权限审计：记录关键操作的执行者，便于后续追溯。
4. API 安全：结合 JWT 或 OAuth2，保护微服务间的通信。

总结

本章我们深入探讨了 Spring Boot 与 Spring Security 的集成。从基础的依赖引入，到内存与数据库两种认证模式的实现，再到角色与权限的精细控制，掌握了构建安全 Web 应用的核心技能。记住，安全配置不是一成不变的，需根据实际业务需求灵活调整，同时注意密码加密等生产环境的安全规范。