在 Spring Boot 项目中整合 Spring Security 实现用户鉴权涉及多个步骤，包括依赖配置、配置类创建、安全配置、用户详情服务的实现等。下面是一个详细的步骤和关键代码示例，帮助你理解如何在 Spring Boot 中整合 Spring Security。
1. 添加依赖
首先，在你的 pom.xml 文件中添加 Spring Security 相关的依赖。Spring Boot 的 Spring Security Starter 可以帮助你轻松集成 Spring Security。
<dependencies> <!-- Spring Boot Starter Security --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> <!-- Spring Boot Starter Web, 如果你的项目还没有的话 --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> </dependency> <!-- 数据库相关依赖，如果使用数据库存储用户信息 --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-data-jpa</artifactId> </dependency> <!-- H2 Database (可选，用于测试或开发环境) --> <dependency> <groupId>com.h2database</groupId> <artifactId>h2</artifactId> <scope>runtime</scope> </dependency> </dependencies>
2. 配置 Spring Security
Spring Security 的配置主要包括创建一个配置类 SecurityConfig，继承 WebSecurityConfigurerAdapter。在这个类中，你可以配置安全设置，如认证、授权等。
import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.core.userdetails.User; import org.springframework.security.provisioning.InMemoryUserDetailsManager; import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder; import org.springframework.security.crypto.password.PasswordEncoder; @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/public/**").permitAll() // 公开访问路径 .antMatchers("/admin/**").hasRole("ADMIN") // 只有 ADMIN 角色可以访问 .anyRequest().authenticated() // 其他所有请求都需要认证 .and() .formLogin() // 表单登录 .loginPage("/login") .permitAll() .and() .logout() .permitAll(); } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth .inMemoryAuthentication() .withUser("user") .password(passwordEncoder().encode("password")) .roles("USER") .and() .withUser("admin") .password(passwordEncoder().encode("admin")) .roles("USER", "ADMIN"); } @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } }
在上面的代码中：
configure(HttpSecurity http) 方法定义了哪些路径是公开的，哪些路径需要特定角色的用户才能访问。还定义了登录页面和登出功能。
configure(AuthenticationManagerBuilder auth) 方法定义了用户的认证方式，这里我们使用了内存中的用户和角色。实际项目中你可能会用数据库来存储用户信息。
passwordEncoder() 方法提供了密码加密的方式，使用 BCryptPasswordEncoder 是推荐的做法。
3. 自定义用户详细信息服务
在实际项目中，你可能需要从数据库加载用户信息。你需要实现 UserDetailsService 接口，并提供自定义的用户加载逻辑。
import org.springframework.beans.factory.annotation.Autowired; import org.springframework.security.core.userdetails.UserDetails; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.core.userdetails.UsernameNotFoundException; import org.springframework.stereotype.Service; @Service public class CustomUserDetailsService implements UserDetailsService { @Autowired private UserRepository userRepository; // 假设你有一个 UserRepository 访问用户数据 @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { UserEntity user = userRepository.findByUsername(username) .orElseThrow(() -> new UsernameNotFoundException("User not found")); return org.springframework.security.core.userdetails.User.builder() .username(user.getUsername()) .password(user.getPassword()) .roles(user.getRoles().toArray(new String[0])) // 将用户角色转换为字符串数组 .build(); } }
你需要有一个 UserRepository 访问数据库中的用户数据以及一个 UserEntity 实体类来表示用户数据。
4. 实体类和存储库
定义一个 UserEntity 类来表示用户信息：
import javax.persistence.Entity; import javax.persistence.GeneratedValue; import javax.persistence.GenerationType; import javax.persistence.Id; import javax.persistence.ElementCollection; import java.util.Set; @Entity public class UserEntity { @Id @GeneratedValue(strategy = GenerationType.IDENTITY) private Long id; private String username; private String password; @ElementCollection private Set<String> roles; // Getters and Setters }
定义一个 UserRepository 接口：
import org.springframework.data.jpa.repository.JpaRepository; import java.util.Optional; public interface UserRepository extends JpaRepository<UserEntity, Long> { Optional<UserEntity> findByUsername(String username); }
5. 配置登录和登出页面
创建自定义登录页面 /src/main/resources/templates/login.html：
<!DOCTYPE html> <html> <head> <title>Login</title> </head> <body> <h2>Login Page</h2> <form action="/login" method="post"> <div> <label for="username">Username:</label> <input type="text" id="username" name="username" /> </div> <div> <label for="password">Password:</label> <input type="password" id="password" name="password" /> </div> <div> <button type="submit">Login</button> </div> </form> </body> </html>
创建登出页面 /src/main/resources/templates/logout.html（可选）：
<!DOCTYPE html> <html> <head> <title>Logout</title> </head> <body> <h2>You have been logged out</h2> <a href="/login">Login Again</a> </body> </html>
6. 测试应用
启动你的 Spring Boot 应用，访问 /login 来查看登录页面。使用配置中的用户名和密码进行登录（如 user 和 password 或 admin 和 admin），并测试不同角色和权限的访问控制。
总结
以上内容提供了一个 Spring Boot 项目中整合 Spring Security 的基本流程和关键代码。实际上，你可能还需要根据项目的具体需求进行更多的自定义配置，如处理不同的认证方式、集成 OAuth2、JWT 等。这个基础的示例应该能帮助你入门 Spring Security 的集成和配置。
