Spring Boot Security 是 Spring 提供的安全框架，集成了身份认证和授权功能，帮助开发者快速构建安全的应用程序。本篇博客将从功能介绍到配置和实践，带您全面了解 Spring Boot Security。
Spring Boot Security 的主要功能
| 功能 | 描述 |
|---|---|
| 身份认证 | 验证用户身份，确保用户合法 |
| 授权控制 | 管理用户权限，限制对资源的访问 |
| 防御攻击 | 保护应用免受 CSRF、XSS 等常见攻击 |
| 会话管理 | 提供用户会话超时和并发登录限制功能 |
快速上手
添加依赖
在 Maven 项目的 pom.xml 文件中添加以下依赖：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
对于 Gradle 项目：
implementation 'org.springframework.boot:spring-boot-starter-security'
注意：默认情况下，Spring Boot Security 会保护所有端点。
默认行为
引入依赖后，应用程序会启用以下默认安全行为：
默认登录表单：
默认用户名：
user- 随机生成密码：启动时可在控制台日志中找到。
例如：
Using generated security password: 3e7b18a3-b46b-4d7a-a77d-4e7d13a57e0d
核心概念与配置
配置自定义用户名和密码
通过修改 application.properties 文件：
spring.security.user.name=admin
spring.security.user.password=secret
URL 授权规则
使用 Java 配置自定义安全规则：
@Configuration
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/public/**").permitAll() // 允许访问公开资源
.anyRequest().authenticated() // 其他请求需要认证
.and()
.formLogin(); // 启用表单登录
return http.build();
}
}
方法级别授权
通过注解实现对特定方法的访问控制：
@RestController
public class UserController {
@GetMapping("/admin")
@PreAuthorize("hasRole('ADMIN')")
public String adminAccess() {
return "Welcome, Admin!";
}
@GetMapping("/user")
@PreAuthorize("hasRole('USER')")
public String userAccess() {
return "Welcome, User!";
}
}
提示：确保启用了方法级别的安全控制：
@EnableGlobalMethodSecurity(prePostEnabled = true)
自定义用户数据
使用内存存储用户
通过 InMemoryUserDetailsManager 配置用户：
@Bean
public UserDetailsService userDetailsService() {
UserDetails user = User.builder()
.username("user")
.password("password")
.roles("USER")
.build();
UserDetails admin = User.builder()
.username("admin")
.password("password")
.roles("ADMIN")
.build();
return new InMemoryUserDetailsManager(user, admin);
}
使用数据库存储用户
定义用户实体类：
@Entity
public class User {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
private String username;
private String password;
private String role;
// Getters and Setters
}
实现 UserDetailsService：
@Service
public class CustomUserDetailsService implements UserDetailsService {
private final UserRepository userRepository;
public CustomUserDetailsService(UserRepository userRepository) {
this.userRepository = userRepository;
}
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
User user = userRepository.findByUsername(username)
.orElseThrow(() -> new UsernameNotFoundException("User not found"));
return org.springframework.security.core.userdetails.User.builder()
.username(user.getUsername())
.password(user.getPassword())
.roles(user.getRole())
.build();
}
}
防御常见安全攻击
| 攻击类型 | Spring Security 防护措施 |
|---|---|
| CSRF | 默认启用，阻止跨站请求伪造 |
| XSS | 对输入数据进行编码，防止脚本注入 |
| Session Fixation | 在会话重新验证时提供新会话 ID |
| HTTPS 强制 | 配置安全通道，保护敏感数据传输 |
示例：禁用 CSRF（仅在需要时慎用）
http.csrf().disable();
总结
Spring Boot Security 提供了强大且灵活的安全功能，无论是简单的身份认证还是复杂的授权场景，都能轻松实现。通过多样的配置方式和工具支持，开发者可以快速构建安全可靠的应用程序。
推荐阅读：Spring Security 官方文档
感谢关注点赞收藏!
