SpringSecurity学习教程：从入门到实战指南

作者：新兰2025.09.17 11:11浏览量：0

简介：本文系统梳理SpringSecurity的核心概念、配置流程及实战技巧，涵盖认证授权、安全配置、跨域处理等关键模块，提供可落地的代码示例与优化建议，助力开发者快速掌握企业级安全框架应用。

一、SpringSecurity核心概念解析

1.1 框架定位与核心功能

SpringSecurity是Spring生态中专门用于构建企业级安全体系的框架，其核心功能涵盖认证（Authentication）、授权（Authorization）、攻击防护（CSRF/XSS）和会话管理四大模块。相较于传统安全框架（如Shiro），SpringSecurity通过与SpringMVC深度集成，支持注解式配置和响应式编程，尤其适合微服务架构下的安全需求。

1.2 核心组件与工作流程

框架的核心组件包括：

SecurityFilterChain：定义安全规则的过滤器链
AuthenticationManager：处理认证请求的入口
AccessDecisionManager：执行授权决策的核心
UserDetailsService：加载用户信息的接口

典型工作流程：用户发起请求 → 过滤器链拦截 → 认证过滤器验证凭证 → 授权过滤器检查权限 → 允许/拒绝访问。例如，当访问/admin接口时，框架会先验证JWT令牌的有效性，再检查用户是否具备ROLE_ADMIN角色。

二、基础配置与快速入门

2.1 环境准备与依赖引入

以Maven项目为例，核心依赖如下：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>

2.2 最小化安全配置

通过继承WebSecurityConfigurerAdapter实现基础配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .defaultSuccessUrl("/home")
            .and()
            .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login?logout");
    }
}

此配置实现了：

/public/**路径开放访问
其他路径需认证
自定义登录/登出逻辑

2.3 内存用户存储

通过InMemoryUserDetailsManager快速创建测试用户：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .withUser("admin")
        .password("{noop}admin123") // {noop}表示明文存储
        .roles("ADMIN")
        .and()
        .withUser("user")
        .password("{noop}user123")
        .roles("USER");
}

三、进阶功能实现

3.1 JDBC用户存储

集成数据库存储用户信息：

@Autowired
private DataSource dataSource;
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.jdbcAuthentication()
        .dataSource(dataSource)
        .passwordEncoder(passwordEncoder()) // 必须配置密码加密器
        .usersByUsernameQuery("SELECT username, password, enabled FROM users WHERE username=?")
        .authoritiesByUsernameQuery("SELECT username, authority FROM authorities WHERE username=?");
}
@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

3.2 JWT认证实现

完整JWT认证流程包含三步：

生成Token：登录成功后返回JWT

@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody LoginRequest request) {
 Authentication authentication = authenticationManager.authenticate(
     new UsernamePasswordAuthenticationToken(request.getUsername(), request.getPassword())
 );
 SecurityContextHolder.getContext().setAuthentication(authentication);
 String token = Jwts.builder()
     .setSubject(authentication.getName())
     .claim("authorities", authentication.getAuthorities())
     .setIssuedAt(new Date())
     .setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 24小时
     .signWith(SignatureAlgorithm.HS512, secretKey)
     .compact();
 return ResponseEntity.ok(new JwtResponse(token));
}

Token验证过滤器：继承OncePerRequestFilter实现

public class JwtTokenFilter extends OncePerRequestFilter {
 @Override
 protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) {
     try {
         String token = getJwtFromRequest(request);
         if (StringUtils.hasText(token)) {
             Claims claims = Jwts.parser()
                 .setSigningKey(secretKey)
                 .parseClaimsJws(token)
                 .getBody();
             UsernamePasswordAuthenticationToken auth = new UsernamePasswordAuthenticationToken(
                 claims.getSubject(),
                 null,
                 getAuthorities(claims)
             );
             SecurityContextHolder.getContext().setAuthentication(auth);
         }
     } catch (Exception e) {
         // 处理异常
     }
     chain.doFilter(request, response);
 }
}

配置过滤器链：

@Override
protected void configure(HttpSecurity http) throws Exception {
 http
     .cors().and()
     .csrf().disable()
     .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
     .and()
     .addFilterBefore(jwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);
}

3.3 方法级安全控制

通过注解实现细粒度权限控制：

@PreAuthorize("hasRole('ADMIN')")
@GetMapping("/admin/data")
public ResponseEntity<List<Data>> getAdminData() {
    // 仅ADMIN角色可访问
}
@PreAuthorize("hasAuthority('READ_PRIVILEGE')")
@GetMapping("/user/profile")
public ResponseEntity<User> getUserProfile() {
    // 需READ_PRIVILEGE权限
}

四、最佳实践与优化建议

4.1 安全配置优化

禁用HTTP：强制使用HTTPS

@Bean
public ServletWebServerFactory servletContainer() {
 TomcatServletWebServerFactory factory = new TomcatServletWebServerFactory();
 factory.addConnectorCustomizers(connector -> {
     connector.setPort(8443);
     connector.setSecure(true);
     connector.setScheme("https");
 });
 return factory;
}

CSRF防护：针对表单提交启用CSRF令牌

http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());

4.2 性能优化

缓存用户信息：集成Spring Cache

@Bean
public UserDetailsService cachingUserDetailsService(UserDetailsService delegate) {
 return new CacheUserDetailsService(delegate, cacheManager);
}

异步认证：使用ReactiveAuthenticationManager处理高并发场景

4.3 常见问题解决方案

跨域问题：

@Bean
public WebMvcConfigurer corsConfigurer() {
 return new WebMvcConfigurer() {
     @Override
     public void addCorsMappings(CorsRegistry registry) {
         registry.addMapping("/**")
             .allowedOrigins("*")
             .allowedMethods("GET", "POST", "PUT", "DELETE");
     }
 };
}

密码加密策略：推荐使用BCryptPasswordEncoder，迭代次数建议设置为10-12次

五、实战案例：微服务安全架构

在微服务场景下，可采用以下架构：

认证服务：集中管理用户认证，发放JWT
资源服务：通过@PreAuthorize注解保护API
网关层：使用Spring Cloud Gateway集成OAuth2资源服务器

配置示例：

// 资源服务器配置
@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .requestMatchers()
                .antMatchers("/api/**")
            .and()
            .authorizeRequests()
                .antMatchers("/api/public/**").permitAll()
                .anyRequest().authenticated();
    }
}

通过本文的系统学习，开发者可以掌握SpringSecurity从基础配置到高级集成的完整技能体系。实际开发中，建议结合具体业务场景进行安全策略定制，定期进行安全审计和渗透测试，确保系统安全性。

发表评论

开发者关注产品榜

最热文章

关于作者

被阅读数
被赞数
被收藏数

开发者热搜

SpringSecurity学习教程：从入门到实战指南

一、SpringSecurity核心概念解析

1.1 框架定位与核心功能

1.2 核心组件与工作流程

二、基础配置与快速入门

2.1 环境准备与依赖引入

2.2 最小化安全配置

2.3 内存用户存储

三、进阶功能实现

3.1 JDBC用户存储

3.2 JWT认证实现

3.3 方法级安全控制

四、最佳实践与优化建议

4.1 安全配置优化

4.2 性能优化

4.3 常见问题解决方案

五、实战案例：微服务安全架构

相关文章推荐

文心一言接入指南：通过百度智能云千帆大模型平台API调用

从 MLOps 到 LMOps 的关键技术嬗变

Sugar BI教你怎么做数据可视化 - 拓扑图，让节点连接信息一目了然

更轻量的百度百舸，CCE Stack 智算版发布

打造合规数据闭环，加速自动驾驶技术研发

LMOps 工具链与千帆大模型平台

发表评论

开发者关注产品榜

千帆大模型服务与开发平台ModelBuilder

千帆大模型应用开发平台AppBuilder

秒哒-生成式应用开发平台

百度智能云客悦智能客服平台

最热文章

关于作者