Java后端学习系列（14）：微服务安全基础（以Spring Security为例）

最新推荐文章于 2025-08-26 08:00:00 发布
原创 最新推荐文章于 2025-08-26 08:00:00 发布 · 987 阅读 · 22 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#java-rabbitmq #java #学习

Java后端学习系列（14）：微服务安全基础（以Spring Security为例）

前言

在前面的学习中，我们掌握了缓存技术，了解了Redis的数据结构、操作以及持久化和集群配置等内容。随着微服务架构的广泛应用，系统被拆分成多个小型的、自治的服务，这种架构虽然带来了诸多优势，如提高开发效率、增强系统可扩展性等，但也引入了新的安全挑战。微服务之间的通信、用户的认证与授权等安全问题变得尤为重要。本期我们将以Spring Security为例，深入探讨微服务安全的基础知识。

一、微服务安全的重要性与常见威胁

1.1 重要性

在微服务架构中，多个服务相互协作完成业务功能，服务之间的通信频繁且复杂。确保微服务的安全，不仅可以保护用户的敏感信息，防止数据泄露，还能保证系统的稳定性和可靠性，避免因安全漏洞导致的业务中断或遭受攻击。例如，在电商系统中，用户的个人信息、支付信息等都需要得到严格的保护，否则可能会给用户带来巨大的损失。

1.2 常见威胁

  • 身份验证绕过：攻击者可能会尝试绕过身份验证机制，直接访问受保护的资源。例如，通过猜测或窃取用户的凭证，或者利用身份验证系统的漏洞来获取访问权限。
  • 数据泄露：由于微服务之间的通信频繁，数据在传输和存储过程中可能会被窃取。例如，在网络传输过程中，数据可能会被中间人截获；在存储过程中，数据库可能会被攻破，导致用户信息泄露。
  • DDoS攻击：分布式拒绝服务（DDoS）攻击会向微服务发送大量的请求，使服务无法正常响应合法用户的请求，从而导致服务瘫痪。
  • 注入攻击：攻击者可能会通过构造恶意的输入数据，注入到微服务的系统中，执行恶意代码。例如，SQL注入攻击会通过构造恶意的SQL语句，获取数据库中的敏感信息。

二、Spring Security的基本概念与架构

2.1 基本概念

Spring Security是一个强大的、高度可定制的安全框架，用于为Spring应用程序提供身份验证和授权功能。它基于Spring框架，提供了一系列的过滤器和拦截器，用于处理用户的请求，确保只有经过授权的用户才能访问受保护的资源。

2.2 架构

Spring Security的核心架构主要包括以下几个部分：

  • 过滤器链：Spring Security通过一系列的过滤器来处理用户的请求。这些过滤器会对请求进行拦截和处理，例如进行身份验证、授权检查等。常见的过滤器包括UsernamePasswordAuthenticationFilter（用于处理表单登录）、BasicAuthenticationFilter（用于处理基本认证）等。
  • 认证管理器（AuthenticationManager）：负责验证用户的身份。它接收一个Authentication对象，该对象包含用户的凭证（如用户名和密码），并返回一个经过验证的Authentication对象。
  • 用户详情服务（UserDetailsService）：用于从数据源（如数据库）中加载用户的详细信息。它返回一个UserDetails对象，该对象包含用户的用户名、密码、角色等信息。
  • 访问决策管理器（AccessDecisionManager）：负责根据用户的角色和权限，决定用户是否有权限访问某个资源。它接收一个Authentication对象和一个ConfigAttribute列表，根据这些信息做出访问决策。

三、如何使用Spring Security实现用户认证与授权

3.1 添加依赖

在Maven项目的pom.xml中添加Spring Security的依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

3.2 配置Spring Security

创建一个配置类，继承WebSecurityConfigurerAdapter，并覆盖相关方法来配置Spring Security：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
           .authorizeRequests()
               .antMatchers("/public/**").permitAll()
               .anyRequest().authenticated()
               .and()
           .formLogin()
               .loginPage("/login")
               .permitAll()
               .and()
           .logout()
               .permitAll();
    }

    @Bean
    @Override
    public UserDetailsService userDetailsService() {
        UserDetails user =
             User.withDefaultPasswordEncoder()
                .username("user")
                .password("password")
                .roles("USER")
                .build();

        return new InMemoryUserDetailsManager(user);
    }
}

3.3 代码解释

  • configure(HttpSecurity http) 方法：用于配置HTTP请求的访问规则。在这个例子中，/public/**路径下的资源允许所有用户访问，其他请求需要进行身份验证。同时，配置了表单登录和注销功能。
  • userDetailsService() 方法：用于创建一个内存中的用户详情服务，定义了一个名为user的用户，密码为password，角色为USER。

3.4 创建登录页面

在src/main/resources/templates目录下创建login.html文件：

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Login Page</title>
</head>
<body>
    <h1>Login</h1>
    <form method="post" action="/login">
        <label for="username">Username:</label>
        <input type="text" id="username" name="username" required><br>
        <label for="password">Password:</label>
        <input type="password" id="password" name="password" required><br>
        <button type="submit">Login</button>
    </form>
</body>
</html>

3.5 实现授权

可以在控制器方法上使用@PreAuthorize注解来实现细粒度的授权：

import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class HelloController {

    @GetMapping("/public/hello")
    public String publicHello() {
        return "Hello, public!";
    }

    @GetMapping("/private/hello")
    @PreAuthorize("hasRole('USER')")
    public String privateHello() {
        return "Hello, authenticated user!";
    }
}

在这个例子中，/public/hello路径的请求不需要身份验证，而/private/hello路径的请求需要用户具有USER角色才能访问。

四、Spring Security在微服务架构中的应用与实践

4.1 微服务间的认证与授权

在微服务架构中，服务之间的通信也需要进行身份验证和授权。可以使用OAuth 2.0协议来实现微服务间的安全通信。Spring Security提供了对OAuth 2.0的支持，可以方便地集成OAuth 2.0认证服务器和资源服务器。

4.2 分布式系统中的会话管理

在分布式系统中，传统的会话管理方式可能不再适用。可以使用Spring Session和Redis来实现分布式会话管理。Spring Session提供了对不同会话存储（如Redis、MongoDB等）的支持，将会话信息存储在Redis中，实现会话的共享和管理。

4.3 示例代码（使用OAuth 2.0）

认证服务器配置
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerSecurityConfigurer;
import org.springframework.security.oauth2.provider.token.TokenStore;
import org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore;

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    private TokenStore tokenStore = new InMemoryTokenStore();

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security
           .tokenKeyAccess("permitAll()")
           .checkTokenAccess("isAuthenticated()");
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints
           .tokenStore(tokenStore);
    }
}
资源服务器配置
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;
import org.springframework.security.oauth2.provider.token.RemoteTokenServices;

@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.resourceId("resource_id");
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
           .authorizeRequests()
               .anyRequest().authenticated();
    }

    @Bean
    public RemoteTokenServices tokenServices() {
        RemoteTokenServices tokenServices = new RemoteTokenServices();
        tokenServices.setCheckTokenEndpointUrl("http://localhost:8080/oauth/check_token");
        tokenServices.setClientId("client_id");
        tokenServices.setClientSecret("client_secret");
        return tokenServices;
    }
}

五、下一步学习建议

  1. 深入实践：在本地环境中搭建一个简单的微服务架构，使用Spring Security实现用户认证与授权，以及微服务间的安全通信。
  2. 学习OAuth 2.0协议：深入学习OAuth 2.0协议的原理和流程，了解不同的授权模式（如授权码模式、密码模式等）的适用场景。
  3. 掌握Spring Security高级特性：学习Spring Security的高级特性，如多因素认证、基于方法的安全等，提高系统的安全性。

下期预告

《Java后端学习系列（15）：总结与展望》

  • 回顾系列课程的重点内容
  • 探讨Java后端技术的发展趋势
  • 对未来学习和实践的建议
后端应用 Spring Security 的微服务安全架构
欢迎来到我的优快云空间！这里聚焦AI大模型应用实战，分享前沿技术、实战案例与开发经验。
04-21 961
在当今数字化时代，微服务架构因其灵活性和可扩展性而被广泛应用于后端应用开发中。然而，微服务之间的通信和交互带来了诸多安全挑战，如身份认证、授权管理、数据加密等。本文章的目的在于深入探讨如何利用 Spring Security 框架构建一个安全可靠的微服务架构，以应对这些安全挑战。文章的范围涵盖了 Spring Security 的核心概念、算法原理、数学模型、项目实战以及实际应用场景等方面。
后端开发必学：Spring Security 基础教程
架构师的AI之路，分享AI应用开发架构的学习与实践。
06-09 711
在当今的软件开发中，安全性是至关重要的一个方面。后端应用程序需要处理用户的敏感信息，如登录凭证、个人资料等，因此必须采取有效的安全措施来保护这些数据。Spring Security 是 Spring 生态系统中用于提供身份验证和授权服务的强大框架，它可以帮助开发者轻松地为基于 Spring 的应用程序添加安全功能。本教程的目的是为后端开发者提供一个全面的 Spring Security 基础指南，涵盖从基本概念到实际应用的各个方面。
Day47_Spring Security—Spring Security的微服务使用
weixin_45014721的博客
07-13 3437
（2）基于 token，（token就是按一定规则生成的包含用户信息的字符串），基于 Session则是解析出 token，然后将当前请求加入到 Spring-security 管理的权限信息中去。这是SpringSecurity微服务中最常用的方式。上面授权的时候，把用户信息放入权限的上下文SecurityContextHolder中，那么后面就可以你可以通过SecurityContextHolder来获取当前的安全上下文，并从中获取Authentication对象，进而获取用户信息。
SpringSecurity之微服务权限解决方案
ybb_ymm的专栏
04-16 1398
微服务（或称微服务架构）是一种云 原 生 架构方法，在单个应用中包含众多松散耦合而且可单独部署的小型组件或服务。这些服务通常拥有自己的技术栈，包括数据库和数据管理模型；通过一个 rest api、事件流和 消 息 代 理组合彼此通信；以及 按照业务能力进行组织，具有通常称为有界上下文的服务分隔线。
SpringCloud微服务整合Spring Security进行统一鉴权
lyy的博客
04-15 4499
有一个大坑，记得如果是单机操作多个微服务项目，要给每个微服务添加session cookie name，如下server : port : 8003 servlet : session : cookie : #防止 Cookie 冲突，冲突会导致登录验证不通过一定一定要做这一步。
四、springSecurity 微服务权限方案
xxx_live_anyd的博客
11-05 2681
springSecurity 微服务权限方案
【分布式微服务专题】SpringSecurity快速入门
qq_32681589的博客
01-01 2519
系列上一篇文章：《官方介绍：Spring Security 是一个功能强大且高度可定制的身份验证和访问控制框架。它是用于保护基于 Spring 的应用程序。Spring Security 是一个框架，侧重于为 Java 应用程序提供身份验证和授权。与所有 Spring 项目一样，Spring 安全性的真正强大之处，在于它很容易扩展以满足定制需求Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。
【Java后端开发】基于Spring Boot的RESTful API设计：微服务架构下高并发接口开发与安全优化实践
最新发布
10-18
适合人群：具备Java基础和Spring框架经验，有一定Web开发经验的1-3年研发人员；正在学习微服务或后端开发的初中级工程师。; 使用场景及目标：①快速搭建可投入生产的RESTful API服务；②掌握Spring Boot在实际项目...
微服务架构 Spring Cloud 生态快速回顾指南
热门推荐
曾经“等你生日那天”都遥远得像未来，如今却可欢愉的挥手说“下个十年见”
02-14 168万+
本文介绍了Spring Cloud在微服务架构中的核心组件及其应用。Spring Cloud提供了服务注册与发现、负载均衡、配置管理和容错机制等功能，简化了分布式系统的构建与管理。通过对这些组件的分析，本文阐述了如何利用Spring Cloud提高微服务系统的可用性、灵活性和可扩展性。最终，本文强调了Spring Cloud作为现代云原生应用开发的重要工具，帮助开发者构建高效、可靠的微服务架构。
Java后端微服务架构下的服务监控：Spring Boot Actuator
微赚淘客系统开发者博客
09-13 433
Spring Boot Actuator是一个强大的工具，它为微服务架构下的Spring Boot应用程序提供了全面的监控和管理能力。Spring Boot Actuator是Spring Boot的一个扩展，它提供了多种监控和管理的端点（endpoints），如健康检查、度量信息、环境信息等。Actuator可以与其他监控和日志工具集成，如Prometheus、Grafana等，提供更全面的监控解决方案。服务监控可以帮助开发者实时了解服务的运行状态，及时发现并解决问题，保证服务的可用性和稳定性。
SpringSecurity之微服务权限方案
hcyxsh的博客
04-06 592
SpringSecurity之微服务权限方案 一 微服务认证与授权实现思路 1. 认证授权过程分析 （1）如果是基于 Session，那么 Spring-security 会对 cookie里的 sessionid进行解析，找到服务器存储的 session信息，然后判断当前用户是否符合请求的要求。 （2）如果是 token，则是解析出 token，然后将当前请求加入到 Spring-security 管理的权限信息中去 （3）认证授权流程图 说明： 如果系统的模块众多，每个模块都需要进行授权与认证，所以
SpringCloud微服务整合Spring Security OAuth2
lyy的博客
04-12 3691
要记得引入common后也要做必要的配置，比如nacos，相关配置可见博客：https://blog.youkuaiyun.com/qq_41076797/article/details/128509393、https://blog.youkuaiyun.com/qq_41076797/article/details/128508723；外面请求进来先通过网关进行身份认证，未登录的去登录，已登录的网关找到auth进行鉴权，通过才放行到具体的普通功能性微服务。代码会在后面给出，因为这段代码在后面的配置文件中。
构建现代微服务安全体系：Spring Security、JWT 与 Spring Cloud Gateway 实践
阿羊ing努力提供更好的Java日记〜
02-12 2391
本文将基于提供的代码示例，详细介绍如何在一个Java微服务项目中使用Spring Security、JWT和Spring Cloud Gateway来构建一个高效且安全的微服务体系，并整合性能优化措施。
SpringSecurity安全框架学习、微服务处理方案
本人拙笔，记录一些开发、面试中的笔记，希望能帮到你。
10-25 664
创建工程案列 创建简单web工程基于Spring boot 测试案列 引入安全框架依赖 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> @RestController @
SpringSecurity 微服务权限管理
weixin_43328816的博客
04-30 1627
1.什么是微服务？ 微服务的优势： 微服务的每个模块就相当于一个单独的项目，代码量明显减少，遇到问题也相对来说比较好解决。 微服务每个模块都可以使用不同的存储方式（比如Redis，mysql）数据库也是单个模块对应自己的数据库 微服务每个模块都可以使用不同的开发技术，开发模式增加灵活 微服务的本质 2.微服务认证与授权过程： 3.微服务权限管理数据模型 ...
新人小白学习Java之SpringSecurity
pinlei的博客
09-24 2299
SpringSecurity框架的使用
也该来学习微服务网关与用户身份识别，SpringSecurity原理和实战
m0_61943758的博客
03-22 1090
关于面试刷题也是有方法可言的，建议最好是按照专题来进行，然后由基础到高级，由浅入深来，效果会更好。Java基础部分算法与编程数据库部分流行的框架与新技术（Spring+SpringCloud+SpringCloudAlibaba）这份面试文档当然不止这些内容，实际上像JVM、设计模式、ZK、MQ、数据结构等其他部分的面试内容均有涉及，因为文章篇幅，就不全部在这里阐述了。
微服务安全——SpringSecurity6详解
qq_44027353的博客
07-23 3816
本文使用的是Security6的版本，先介绍SpringSecurity的使用，然后再去介绍OAuth2。 SpringSecurity也只是入门知识版本：SpringBoot3.1.4、Security6.1.4创建一个简单的SpringBoot应用引入依赖 编写一个简单的Controller 启动项目后测试接口调用引入Spring Security依赖之后 ，访问 API 接口时，需要首先进行登录，才能进行访问。测试 http://localhost:8080/admin/demo ,会跳转到登录界面需
微服务08-Spring Cloud Security：保护微服务
千淘万漉虽辛苦，吹尽狂沙始到金
08-26 1万+
针对微服务环境下身份认证分散、权限控制复杂、令牌管理困难等痛点，Spring Cloud Security基于Spring Security和OAuth2.0协议，提供了一站式解决方案。文章详细讲解了认证服务器搭建、资源服务配置、JWT令牌机制等核心功能，并展示了与Spring Cloud Gateway的集成方法。通过完整的代码示例，读者可以快速掌握企业级微服务安全方案的实现要点，包括统一认证、分布式授权和服务间安全通信等关键技术。
Java后端整合技术：SpringBoot、SpringMVC、SpringSecurity、SSM
该资源详细记录了如何将SpringBoot、SpringMVC、SpringSecurity以及SSM（Spring + SpringMVC + MyBatis）框架整合在一起，以构建高效、安全的现代Web应用程序。整合这些框架的目的在于充分发挥各自框架的优势，简化...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值