Spring Security 的工作原理

最新推荐文章于 2025-11-19 17:27:13 发布

原创最新推荐文章于 2025-11-19 17:27:13 发布 · 931 阅读

20 ·

CC 4.0 BY-SA版权

文章标签：

#spring #oracle #java

Spring Security 是一个功能强大且广泛应用于保护基于 Spring 框架开发的应用程序的安全框架。

主要有三个阶段

认证（Authentication）阶段：

当用户尝试访问受保护的资源时，首先会被引导至登录页面或触发登录操作。
用户提交包含用户名和密码等登录凭证的信息。
Spring Security 接收到这些登录信息后，会将其与预先配置的数据源（如数据库、LDAP 目录服务等）中存储的用户信息进行比对和验证。
如果登录信息与数据源中的记录相匹配，Spring Security 会创建一个包含用户详细信息和权限的认证令牌（Authentication Token）。这个令牌将在后续的请求中用于表示用户的身份。

授权（Authorization）阶段：

每当用户发出对特定资源的请求时，Spring Security 会拦截该请求。
它会获取当前请求中的认证令牌，并从中提取用户的身份和权限信息。
然后，根据预先配置的授权规则和策略，来判断用户是否具备访问所请求资源的权限。
这些授权规则可以基于角色（Role）、权限（Permission）、访问控制列表（ACL）等多种方式进行定义。

安全上下文（Security Context）管理方面：

整个认证和授权的相关信息会被存储在安全上下文中。
安全上下文在应用程序的运行期间是可访问的，使得各个组件能够方便地获取用户的身份和权限信息，从而做出相应的处理决策。

相关整合的配置

数据源配置：
- 这是至关重要的一步，需要准确配置数据库连接信息，以确保能够从数据库中获取用户的详细信息、角色和权限数据。例如，如果使用 MySQL 数据库，需要配置数据库 URL、用户名、密码等参数。
用户详情服务（UserDetailsService）配置：
- 可以实现自定义的用户详情服务，以满足特定的用户数据获取和处理逻辑。比如，可能需要从多个数据源整合用户信息，或者对用户数据进行额外的转换和处理。
认证方式配置：
- Spring Security 支持多种认证方式，如常见的表单登录、HTTP 基本认证、OAuth 认证等。以表单登录为例，可以自定义登录页面的样式、表单字段名称、登录失败处理逻辑等。

授权规则配置：

可以通过注解（如 @PreAuthorize 、 @PostAuthorize 等）在方法级别进行细粒度的授权控制。也可以在配置文件中，使用通配符和正则表达式来定义针对不同 URL 路径和请求方法的访问权限。

/**
 * 安全配置类，用于配置 Spring Security 的相关设置
 */
@Configuration  // 表明这是一个 Spring 配置类
@EnableWebSecurity  // 启用 Spring Security 的 Web 安全功能
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    /**
     * 重写配置认证管理器构建器的方法
     * @param auth 认证管理器构建器
     * @throws Exception 可能抛出的异常
     */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 配置内存中的认证信息
        auth.inMemoryAuthentication()  // 启用内存认证方式
           .withUser("user1")  // 添加用户 "user1"
           .password("{noop}password1")  // 设置密码
           .roles("USER")  // 赋予 "USER" 角色
           .and()  // 继续添加用户
           .withUser("admin")  // 添加用户 "admin"
           .password("{noop}password2")  // 设置密码
           .roles("ADMIN");  // 赋予 "ADMIN" 角色
    }

    /**
     * 重写配置 HTTP 安全的方法
     * @param http HTTP 安全对象
     * @throws Exception 可能抛出的异常
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 开始配置授权请求规则
        http.authorizeRequests()  
           .antMatchers("/admin/**").hasRole("ADMIN")  // 匹配 /admin/** 路径，要求具有 "ADMIN" 角色
           .antMatchers("/user/**").hasRole("USER")  // 匹配 /user/** 路径，要求具有 "USER" 角色
           .anyRequest().authenticated()  // 其他任何请求都需要用户已认证
           .and()  // 继续配置
           .formLogin()  // 启用表单登录
           .loginPage("/login")  // 设置登录页面路径
           .defaultSuccessUrl("/home")  // 设置登录成功后的默认跳转路径
           .failureUrl("/login?error=true");  // 设置登录失败后的跳转路径
    }
}

以上是一个Security配置类的例子可以按照自己的实际需求改变，想要使用还需要引用相关依赖例如

<dependencies>
    <!-- Spring Security 核心依赖 -->
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-web</artifactId>
        <version>5.7.0</version>
    </dependency>
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-config</artifactId>
        <version>5.7.0</version>
    </dependency>
    <!-- 其他可能需要的依赖，例如数据库连接、日志等 -->
    <!-- 具体根据项目需求添加 -->
</dependencies>

将这个依赖导入到maven的pom中