【Spring】springSecurity使用

一、基本配置

1. 引入依赖

在Spring Boot项目中，使用Spring Security首先需要引入相应的依赖。在pom.xml中添加spring-boot-starter-security依赖：

<dependency>  <groupId>org.springframework.boot</groupId>  <artifactId>spring-boot-starter-security</artifactId>  
</dependency>

2. 配置安全规则

Spring Security提供了多种配置安全规则的方式，包括使用Java配置类、注解或XML配置文件。在Spring Boot项目中，通常使用Java配置类来配置安全规则。

通过继承WebSecurityConfigurerAdapter类并重写其configure方法，可以定义用户认证和授权的相关规则。例如：

@Configuration  
@EnableWebSecurity  
public class SecurityConfig extends WebSecurityConfigurerAdapter {  @Autowired  private UserDetailsService userDetailsService;  @Override  protected void configure(HttpSecurity http) throws Exception {  http  .authorizeRequests()  .antMatchers("/login", "/register").permitAll() // 允许匿名访问登录和注册页面  .anyRequest().authenticated() // 其他请求都需要认证  .and()  .formLogin()  .loginPage("/login") // 自定义登录页面  .permitAll()  .and()  .logout()  .permitAll(); // 允许匿名用户访问注销URL  }  @Autowired  public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {  auth  .userDetailsService(userDetailsService)  .passwordEncoder(passwordEncoder()); // 使用密码编码器  }  @Bean  public PasswordEncoder passwordEncoder() {  return new BCryptPasswordEncoder(); // 使用BCrypt进行密码加密  }  
}

二、认证过程

Spring Security的认证过程通常涉及以下几个步骤：

用户提交认证信息：用户通过表单或其他方式提交用户名和密码等认证信息。
AuthenticationFilter拦截请求：Spring Security中的UsernamePasswordAuthenticationFilter（或其他自定义的认证过滤器）会拦截用户的登录请求。
封装认证信息：过滤器将请求中的认证信息封装成UsernamePasswordAuthenticationToken对象。
调用AuthenticationManager：将封装好的AuthenticationToken传递给AuthenticationManager进行认证。
认证提供者执行认证：AuthenticationManager会调用一个或多个AuthenticationProvider进行实际的认证操作。AuthenticationProvider会调用UserDetailsService来获取用户信息，并与提交的认证信息进行比对。
认证成功或失败：如果认证成功，会将用户的认证信息封装成Authentication对象，并存储在SecurityContextHolder中，供后续操作使用；如果认证失败，则抛出异常，并由Spring Security处理相应的错误响应。

三、授权过程

授权过程是在用户认证成功后进行的，用于控制用户对资源的访问权限。

访问资源：用户尝试访问某个受保护的资源。
拦截器拦截请求：Spring Security中的拦截器（如FilterSecurityInterceptor）会拦截用户的请求。
获取所需权限：拦截器会调用FilterInvocationSecurityMetadataSource来获取被拦截URL所需的全部权限。
访问决策：拦截器会调用AccessDecisionManager进行访问决策。AccessDecisionManager会根据用户的认证信息、请求的URL和配置的权限规则来判断用户是否有权访问该资源。
授权成功或失败：如果授权成功，用户可以继续访问资源；如果授权失败，则抛出异常，并由Spring Security处理相应的错误响应。