Spring Security

原创 于 2025-06-10 23:59:04 发布 · 1.1k 阅读 · 12 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#spring #java #后端

一、基础概念与核心原理

1. Spring Security 是什么？
  • 定位：Spring 生态中的安全框架，用于实现 Web 应用的身份验证（Authentication）和授权（Authorization）。
  • 核心功能：
    • 防止未经授权的访问（如登录认证）。
    • 细粒度的权限控制（如角色 / 权限管理）。
    • 支持多种认证方式（如用户名密码、OAuth2、JWT 等）。
    • 防御常见安全攻击（如 CSRF、XSS、Session 固定等）。
2. 核心架构与术语
  • 过滤器链（Filter Chain）：
    • Spring Security 通过一系列过滤器（如 UsernamePasswordAuthenticationFilter、FilterSecurityInterceptor）实现安全控制。
    • 核心过滤器：SecurityContextPersistenceFilter（管理安全上下文）、AuthenticationFilter（处理认证请求）、AuthorizationFilter（处理授权逻辑）。
  • 认证管理器（Authentication Manager）：
    • 核心接口 AuthenticationManager，负责处理认证请求，默认实现为 ProviderManager。
    • 认证提供者（AuthenticationProvider）：如 DaoAuthenticationProvider（基于数据库认证）、OAuth2AuthenticationProvider（基于 OAuth2 认证）。
  • 安全上下文（Security Context）：
    • 通过 SecurityContextHolder 存储当前用户的认证信息（Authentication 对象），贯穿整个请求生命周期。

二、入门实践：快速搭建安全应用

1. 环境准备
  • 添加依赖（Spring Boot 场景）： 
    <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
  • 默认行为：引入依赖后，Spring Security 会自动启用表单登录和基本认证，默认用户名为 user，密码在启动日志中生成。
2. 基础配置：自定义认证规则

创建 SecurityConfig 类，继承 WebSecurityConfigurerAdapter（Spring Boot 2.7+ 需实现 SecurityFilterChain）：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 表单登录配置
            .formLogin()
                .loginPage("/login") // 自定义登录页
                .defaultSuccessUrl("/home", true) // 登录成功跳转页
                .permitAll() // 允许匿名访问登录页
            .and()
            // 权限控制
            .authorizeHttpRequests()
                .requestMatchers("/public").permitAll() // 公开接口
                .requestMatchers("/admin").hasRole("ADMIN") // 需要 ADMIN 角色
                .anyRequest().authenticated() // 其他请求需认证
            .and()
            // 注销配置
            .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login?logout")
                .invalidateHttpSession(true)
            .and()
            // 关闭 CSRF（测试环境可选，生产环境需保留）
            .csrf().disable();
        return http.build();
    }

    // 内存用户（测试用，生产环境需从数据库加载）
    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails user = User.withUsername("user")
            .password(passwordEncoder().encode("123456"))
            .roles("USER")
            .build();
        UserDetails admin = User.withUsername("admin")
            .password(passwordEncoder().encode("admin123"))
            .roles("ADMIN", "USER")
            .build();
        return new InMemoryUserDetailsManager(user, admin);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}
3. 核心流程解析
  1. 用户访问受保护资源：如 /admin，未认证时重定向到登录页。
  2. 提交登录表单：用户名密码通过 UsernamePasswordAuthenticationFilter 拦截，封装为 UsernamePasswordAuthenticationToken。
  3. 认证处理：ProviderManager 调用 UserDetailsService 加载用户信息，对比密码（需匹配 PasswordEncoder）。
  4. 认证成功：生成 Authentication 对象，存入 SecurityContextHolder，允许访问资源。
  5. 授权校验：FilterSecurityInterceptor 根据配置的权限规则（如 hasRole）校验用户权限。

三、核心模块深度解析

1. 认证模块（Authentication）
  • 认证方式扩展：
    • 自定义认证逻辑：实现 UserDetailsService 接口，从数据库或第三方系统加载用户信息。
    • 多认证方式：如同时支持用户名密码和 OAuth2 登录，通过 ProviderManager 组合多个 AuthenticationProvider。
  • JWT 认证：
    • 替换传统 Session-Cookie 模式，使用 JWT 令牌实现无状态认证。
    • 关键步骤：
      1. 登录时生成 JWT 令牌（含用户信息、过期时间等）。
      2. 客户端携带令牌至请求头（Authorization: Bearer <token>）。
      3. 自定义过滤器解析令牌，验证有效性并设置 SecurityContext。
    • 常用库：io.jsonwebtoken:jjwt。
2. 授权模块（Authorization）
  • 权限模型：
    • 角色（Role）：粗粒度权限，如 ROLE_ADMIN、ROLE_USER。
    • 权限（Permission）：细粒度权限，如 user:read、order:create，基于 Spring Security ACL 或自定义注解实现。
  • 表达式语言（Spring EL）：
    • 在 authorizeHttpRequests 中使用表达式控制访问： 
      .authorizeHttpRequests(authz -> authz
    .requestMatchers("/admin").hasRole("ADMIN") // 需 ADMIN 角色
    .requestMatchers("/user").hasAnyRole("USER", "ADMIN") // 需 USER 或 ADMIN 角色
    .requestMatchers("/api/**").hasAuthority("user:read") // 需 user:read 权限
    .requestMatchers("/profile").authenticated() // 已认证用户
    .requestMatchers("/public").permitAll() // 公开访问
);
    • 高级表达式：hasIpAddress("192.168.1.1")（限制 IP 访问）、@beanName.method()（调用自定义 Bean 逻辑）。
3. 安全配置进阶
  • CSRF 防护：
    • 开启 CSRF（默认启用）：http.csrf().enable()。
    • 原理：通过在表单中添加 _csrf 令牌，验证请求来源的合法性。
    • 例外场景：REST API 可禁用 CSRF（使用 JWT 时）：http.csrf().disable()。
  • 会话管理（Session Management）：
    • 配置会话策略： 
      .sessionManagement()
    .maximumSessions(1) // 单用户最大会话数
    .maxSessionsPreventsLogin(true) // 超过限制时拒绝新登录
    .and()
    .sessionCreationPolicy(SessionCreationPolicy.STATELESS) // 无状态会话（如 JWT 场景）
  • 密码加密：
    • 必须使用强加密算法（如 BCrypt、SCrypt），避免明文存储。
    • Spring Security 提供 PasswordEncoder 接口，推荐使用 BCryptPasswordEncoder。

四、高级主题与扩展

1. 自定义认证与授权
  • 自定义认证过滤器：
    • 继承 AbstractAuthenticationProcessingFilter，处理特殊认证方式（如短信验证码、指纹识别）。
    public class SMSCodeAuthenticationFilter extends AbstractAuthenticationProcessingFilter {
    public SMSCodeAuthenticationFilter() {
        super(new AntPathRequestMatcher("/login/sms", "POST")); // 匹配短信登录路径
    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) {
        String phone = request.getParameter("phone");
        String code = request.getParameter("code");
        SMSCodeAuthenticationToken token = new SMSCodeAuthenticationToken(phone, code);
        return getAuthenticationManager().authenticate(token);
    }
}
  • 自定义授权决策器：
    • 实现 AccessDecisionManager，自定义复杂授权逻辑（如多因素认证、动态权限）。
2. 与其他框架集成
  • Spring Boot + Security：
    • 自动配置：Spring Boot 自动配置 SecurityFilterChain、UserDetailsService 等 Bean。
    • 关闭自动配置：在 application.properties 中添加 spring.security.enabled=false（谨慎使用）。
  • Spring MVC 与 Security：
    • 在 MVC 控制器中使用 @PreAuthorize、@PostAuthorize 注解实现方法级权限控制： 
      @RestController
@RequestMapping("/api")
public class UserController {
    @GetMapping("/users")
    @PreAuthorize("hasAuthority('user:read')")
    public List<User> getUsers() { ... }

    @PostMapping("/users")
    @PreAuthorize("hasAuthority('user:create') and @securityService.isAdmin()") // 调用自定义 Bean
    public User createUser(@RequestBody User user) { ... }
}
  • 微服务场景下的安全：
    • 使用 Spring Security OAuth2 + JWT 实现分布式认证中心（如 Auth Server）。
    • 资源服务器（Resource Server）通过解析 JWT 令牌校验权限。
3. 性能优化与监控
  • 缓存认证信息：
    • 使用 Spring Cache 缓存 UserDetails，减少数据库查询： 
      @Service
@CacheConfig(cacheNames = "userDetails")
public class CachedUserDetailsService implements UserDetailsService {
    @Override
    @Cacheable(key = "#username")
    public UserDetails loadUserByUsername(String username) {
        return userRepository.findByUsername(username); // 从数据库加载
    }
}
  • 监控与指标：
    • 集成 Micrometer，暴露安全相关指标（如认证成功率、授权失败次数）。
    • 通过 Actuator 端点（如 /actuator/metrics）监控系统安全状态。

五、实战项目：构建安全的 RESTful API

需求场景
  • 设计一个用户管理系统，包含以下安全需求：
    1. 使用 JWT 实现无状态认证。
    2. 支持用户注册、登录、修改密码。
    3. 管理员可查看所有用户，普通用户只能查看自己的信息。
技术方案
  1. 认证流程：
    • 注册：用户提交用户名、密码，存储至数据库（密码加密）。
    • 登录：返回 JWT 令牌，有效期 24 小时。
    • 刷新令牌：使用 Refresh Token 机制（可选）。
  2. 授权规则：
    • GET /users：需 ADMIN 角色。
    • GET /users/me：需已认证用户（authenticated）。
    • PUT /users/me：需 USER 角色。
关键实现
  • JWT 工具类： 
    public class JwtUtils {
    private static final String SECRET = "your-secret-key-32-bytes-long";
    private static final long EXPIRATION_TIME = 86400000L; // 24小时

    public static String generateToken(String username) {
        return Jwts.builder()
            .setSubject(username)
            .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
            .signWith(SignatureAlgorithm.HS256, SECRET)
            .compact();
    }

    public static String validateToken(String token) {
        try {
            Claims claims = Jwts.parser()
                .setSigningKey(SECRET)
                .parseClaimsJws(token)
                .getBody();
            return claims.getSubject();
        } catch (Exception e) {
            return null;
        }
    }
}
  • JWT 认证过滤器： 
    public class JwtAuthenticationFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) {
        String token = request.getHeader("Authorization");
        if (token != null && token.startsWith("Bearer ")) {
            token = token.substring(7);
            String username = JwtUtils.validateToken(token);
            if (username != null) {
                UserDetails userDetails = userDetailsService.loadUserByUsername(username);
                Authentication authentication = new UsernamePasswordAuthenticationToken(
                    userDetails, null, userDetails.getAuthorities()
                );
                SecurityContextHolder.getContext().setAuthentication(authentication);
            }
        }
        filterChain.doFilter(request, response);
    }
}
  • 安全配置： 
    @Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .csrf().disable()
        .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
        .addFilterBefore(new JwtAuthenticationFilter(userDetailsService), UsernamePasswordAuthenticationFilter.class)
        .authorizeHttpRequests(authz -> authz
            .requestMatchers("/auth/register", "/auth/login").permitAll()
            .requestMatchers("/users").hasRole("ADMIN")
            .requestMatchers("/users/me").authenticated()
            .anyRequest().denyAll()
        );
    return http.build();
}

总结

Spring Security 的学习路径可概括为：基础配置 → 认证授权核心 → 自定义扩展 → 微服务集成 → 性能优化。建议从简单的表单登录开始，逐步尝试 JWT、OAuth2 等复杂场景，并通过实战项目巩固知识。遇到问题时，结合官方文档和调试工具（如断点跟踪过滤器链）分析流程，逐步掌握其底层逻辑。

hqxstudying
关注
关于SpringBoot整合Security认证授权的使用和介绍；
gzx233的博客
07-27 1105
整合Security的旧版和新版的区别和使用,密码加密器,自定义账号密码,多用户,修改登录页,获取当前用户信息等..
SpringSecurity 入门学习
最新发布
ice_lolly_的博客
06-08 1359
Spring Security是一个强大的安全框架，提供认证、授权、会话管理等核心功能。它通过过滤器链（如UsernamePasswordAuthenticationFilter、FilterSecurityInterceptor等）实现安全控制。相比Shiro，Spring Security功能更丰富，适用于大中型项目。
spring security的原理及教程
热门推荐
二当家的
08-27 5万+
spring security使用分类： 如何使用spring security，相信百度过的都知道，总共有四种用法，从简到深为：1、不用数据库，全部数据写在配置文件，这个也是官方文档里面的demo；2、使用数据库，根据spring security默认实现代码设计数据库，也就是说数据库已经固定了，这种方法不灵活，而且那个数据库设计得很简陋，实用性差；3、spring security和Ac
spring security
weixin_43060721的博客
01-07 720
spring security工作原理简介 spring security和springmvc配合使用可以提供安全性，可以通过注册org.springframework.web.filter.DelegatingFilterProxy这个filter进行安全管理，也可以扩展AbstractSecurityWebApplicationInitializer类进行java方式的配置，AbstractS...
最详细Spring Security学习资料（源码）
11-16
Spring Security是一个功能强大且高度可定制的身份验证和授权框架，专门用于保护Java应用程序的安全性。它构建在Spring Framework基础之上，提供了全面的安全解决方案，包括身份验证、授权、攻击防护等功能。 Spring...
SpringSecurity笔记，编程不良人笔记
10-28
SpringSecurity是Java领域中一款强大的安全框架，主要用于Web应用程序的安全管理。它提供了全面的身份验证、授权、会话管理以及安全相关的功能，可以帮助开发者构建安全的Web应用。在本笔记中，我们将深入探讨Spring...
springsecurity学习笔记
12-13
在"springsecurity学习笔记"中，你可能会涉及以下主题： - Spring Security的基本配置，包括web安全配置和全局安全配置。 - 如何自定义认证和授权流程，比如实现自定义的AuthenticationProvider和...
Spring Security in Action
11-22
Spring Security 实践指南 Spring Security 是一个基于 Java 的安全框架，旨在提供身份验证、授权和访问控制等功能。下面是 Spring Security 的主要知识点： 一、身份验证（Authentication） 身份验证是指对用户...
Spring Cloud Gateway 整合 Spring Security 统一登录认证鉴权
02-24
在压缩包文件`spring_gateway_security_webflux`中，可能包含了示例代码或配置文件，用于演示如何在Spring Cloud Gateway中集成Spring Security，实现统一登录认证鉴权。这些资源可以帮助开发者更快地理解和实践上述...
springsecurity
qq_74289024的博客
07-15 1093
导入资料中前端页面信息配置security 配置，放行页面/*Security配置*/@Overridehttp//关闭跨域校验//授权//放行请求,"/js/**","/logout",".html"// 任何请求都需要认证导入前端资料到static文件夹下测试前端1.导入vo/ResponseResult类2.自定义登录认证接口 /auth/login，代替默认登录接口@Slf4j@Autowired@Service@Autowired。
SpringBoot-安全管理框架Spring Security使用详解(1)-基本用法
Andy's Blog
06-06 625
一般项目都会有严格的认证和授权操作，而在Java开发领域常见的安全框架有Shiro和Spring Security。本文首先介绍下后者。 一、基本用法 1，什么是 Spring Security ? Spring Security是一个相对复杂的安全管理框架，功能比Shiro更加强大，权限控制细粒度更高，对OAuth 2的支持也更友好。 由于Spring Security源自Spring家族，因此可以和Spring框架无缝整合，特别是Spring Boot中提供的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值