Spring Security的使用 #Web安全#权限认证《Spring实战》第4版笔记 （一）

9.1 Spring Security简介

Spring Security 是基于Spring AOP和Servlet规范中的Filter实现的安全框架，能够在Web请求级别和方法调用级别处理身份认证和授权。

Spring Security 从两个角度来解决安全性问题。它使用Servlet 规范中的Filter的保护Web请求并限制URL级别的访问。Spring Security 通过使用Spring AOP 保护方法调用——借助于对象代理和使用通知，能够确保只有具备适当权限的用户才能访问安全保护的方法。

9.1.1 Speing Security的模块

9.1.2 过滤Web请求

通过web.xml或者AbstractSecurityWebApplicationInitializer的子类配置 DelegatingFilterProxy，都会拦截发往应用中的请求，并将请求委托给ID为 springSecurityFilterChain 的bean。

9.1.3 简单的安全性配置

@Configuration
@EnableWebSecurity  // ->启用web应用的安全性功能
public class SecurityConfig extends WebSecurityConfigurerAdapter{
   
}

使用SpringMVC开发，则用 @EnableWebMvcSecurity替代@EnableWebSecurity，通过重载 WebSecurityConfigurerAdapter的是哪个configure()方法来配置Web安全性。

方法	描述
configure(WebSecurity)	通过重载，配置Spring Security的Filter链
configure(HttpSecurity)	通过重载，配置如何通过拦截器保护请求
configure(AuthenticationManagerBuilder)	通过重载，配置user-detail服务

默认的configure(HttpSecurity) 代码

prorected void configure(HttpSecurity http) throws Exception{
   
   http
     .authrizeRequests()
       .anyRequest().authenicated()  // 所有进入应用的HTTP请求都要验证
       .and()
     .formLogin().add() // 支持基于表单的登录以及HTTP Basic方式的认证
     .httpBasic();  
}
//单没有用户存储支撑认证过程，没有用户存储，实际上就等于没有用户，没人能登录成功

• 配置用户存储
• 指定哪些请求需要认证，哪些请求不需要认证，以及所需要的权限；
• 提供一个自定义的登录界面，替代原来简单的默认登录页。

9.2 选择查询用户信息的服务

9.2.1 基于内存的用户存储

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception{
   
        auth