深入解析Spring Boot与Spring Security的集成实践

最新推荐文章于 2025-06-16 16:13:20 发布

原创最新推荐文章于 2025-06-16 16:13:20 发布 · 289 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#Spring Boot #Spring Security #JWT #Java

Java 专栏收录该内容

873 篇文章

订阅专栏

深入解析Spring Boot与Spring Security的集成实践

引言

在现代企业级应用开发中，安全性是不可忽视的重要环节。Spring Boot作为快速开发框架，与Spring Security的结合为开发者提供了一套完整的安全解决方案。本文将深入探讨如何在Spring Boot项目中集成Spring Security，并实现常见的认证与授权功能。

1. Spring Security简介

Spring Security是一个功能强大且高度可定制的安全框架，主要用于Java应用程序的身份验证和授权。它支持多种认证方式，如表单登录、OAuth2、JWT等，并提供了细粒度的权限控制机制。

2. 创建Spring Boot项目

首先，我们需要创建一个基础的Spring Boot项目。可以通过Spring Initializr（https://start.spring.io/）快速生成项目骨架。选择以下依赖：

Spring Web
Spring Security

生成项目后，导入到IDE中。

3. 配置Spring Security

3.1 基础配置

Spring Security默认会为所有请求启用安全保护。我们可以通过继承WebSecurityConfigurerAdapter类来定制安全配置。以下是一个简单的配置示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
            .and()
            .logout()
                .permitAll();
    }
}

3.2 自定义用户认证

Spring Security默认使用内存用户存储，但在实际项目中，我们通常需要从数据库加载用户信息。可以通过实现UserDetailsService接口来完成：

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found"));

        return new org.springframework.security.core.userdetails.User(
            user.getUsername(),
            user.getPassword(),
            Collections.emptyList()
        );
    }
}

4. 实现JWT认证

JSON Web Token（JWT）是一种流行的无状态认证机制。以下是实现JWT认证的关键步骤：

4.1 添加依赖

在pom.xml中添加JWT相关依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

4.2 生成与验证Token

public class JwtUtil {

    private static final String SECRET_KEY = "your-secret-key";

    public static String generateToken(String username) {
        return Jwts.builder()
            .setSubject(username)
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60 * 10))
            .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
            .compact();
    }

    public static boolean validateToken(String token) {
        try {
            Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
}

4.3 配置JWT过滤器

public class JwtRequestFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {
        String token = request.getHeader("Authorization");

        if (token != null && JwtUtil.validateToken(token)) {
            String username = JwtUtil.extractUsername(token);
            UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(
                username, null, Collections.emptyList());
            SecurityContextHolder.getContext().setAuthentication(authentication);
        }

        chain.doFilter(request, response);
    }
}