Spring Security应用讲解（Java案列演示）

news2026/4/3 13:38:38

博主介绍：✌专研于前后端领域优质创作者、本质互联网精神开源贡献答疑解惑、坚持优质作品共享、掘金/腾讯云/阿里云等平台优质作者、擅长前后端项目开发和毕业项目实战，深受全网粉丝喜爱与支持✌有需要可以联系作者我哦！

🍅文末获取源码联系🍅

👇🏻 精彩专栏推荐订阅👇🏻 不然下次找不到哟

Spring Security原理

Spring Security是一个强大的身份验证和访问控制框架，它提供了一套全面的安全解决方案，包括身份验证、授权、防止攻击等功能，用于保护Spring应用程序。它的设计理念是基于过滤器链（Filter Chain）和委托模式，通过一系列的过滤器来处理不同的安全功能。

过滤器链（Filter Chain）： Spring Security通过过滤器链的方式来处理安全性。每个过滤器负责一个特定的安全功能，例如身份验证、授权、会话管理等。过滤器链是有序的，请求会依次通过这些过滤器，每个过滤器都有机会对请求进行处理。

委托模式： Spring Security使用委托模式将不同的安全功能委托给不同的组件。例如，身份验证（Authentication）的实现被委托给AuthenticationManager，而授权（Authorization）的实现则被委托给AccessDecisionManager。

安全上下文（SecurityContext）： 安全上下文是一个存储当前用户的地方，可以通过SecurityContextHolder来访问。它包含了当前用户的身份验证信息（Authentication）以及其他与安全相关的信息。

代码演示

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 配置用户认证信息
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user")
                .password("{noop}password") // 使用{noop}表示不加密，实际应用中应使用加密的密码
                .roles("USER");
    }

    // 配置请求的访问权限
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll() // 不需要身份验证的URL
                .anyRequest().authenticated() // 其他所有请求需要身份验证
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll() // 允许所有用户访问登录页面
                .and()
            .logout()
                .permitAll(); // 允许所有用户注销
    }
}

configure(AuthenticationManagerBuilder auth) 方法配置了一个在内存中的用户，并指定了用户名、密码（未加密，实际应用中应使用加密的密码）和角色。
configure(HttpSecurity http) 方法定义了访问权限规则，指定了哪些URL需要身份验证，哪些URL不需要。还配置了登录和注销的行为。

需要注意的是，上述代码中使用了 {noop} 来表示密码不加密，这在实际应用中是不安全的。实际应用中，应使用加密算法对密码进行加密，例如BCrypt。可以通过替换 password("{noop}password") 为 password(encoder().encode("password")) 来使用BCrypt密码编码器。