入门 Spring Security：保护你的应用安全

uufw

已于 2023-07-27 10:48:10 修改

阅读量162

点赞数

分类专栏： Spring Security 文章标签： spring 安全 java 后端

于 2023-07-24 17:56:35 首次发布

本文链接：https://blog.csdn.net/wen_linfeng/article/details/131901764

版权

Spring Security 专栏收录该内容

3 篇文章 0 订阅

订阅专栏

—— 构建安全的应用程序，从认证和授权开始！

1. Spring Security简介

1.1. 什么是Spring Security

Spring Security 是一个开源的Java框架，旨在为应用程序提供全面的身份验证和授权解决方案。在当今互联网时代，安全性成为应用程序开发中至关重要的一环。Spring Security 致力于满足这一需求，通过集成各种身份验证和授权技术，为应用程序提供强大的安全功能。

其核心功能主要包括认证（Authentication）和授权（Authorization）。认证涉及验证用户的身份，确保其合法性和真实性。Spring Security支持多种认证方式，包括基于表单登录、基于令牌的身份验证和集成外部身份提供商等。授权则涉及定义和管理用户对应用程序资源的访问权限。Spring Security提供灵活的权限管理机制，可以基于角色、权限、表达式等进行细粒度的授权控制。

Spring Security与Spring生态系统紧密集成，特别是与 Spring 框架、Spring Boot 和 Spring MVC 等模块。它提供了与这些框架的无缝集成，使开发人员能够轻松地在应用程序中实现全面的安全性。通过使用Spring Security，开发人员可以专注于应用程序的业务逻辑，而无需过多关注安全性实现细节。

除了基本的身份验证和授权功能外，Spring Security 还提供了一系列高级特性，如 Remember Me 功能、多因素认证、单点登录等。这些功能进一步增强了应用程序的安全性和用户体验。

总之，Spring Security 是一个功能强大且易于使用的安全框架，旨在帮助开发人员构建安全可靠的应用程序。它提供了全面的认证和授权功能，与 Spring 生态系统无缝集成，同时支持各种高级特性。通过使用Spring Security，开发人员能够轻松应对复杂的安全需求，保护应用程序免受潜在的安全威胁。

1.2. Spring Security 的作用和优势

身份验证和授权：Spring Security 提供了全面的身份验证和授权功能。它能够验证用户的身份，确保其合法性和真实性，并为应用程序中的资源定义和管理访问权限。通过使用Spring Security，开发人员可以轻松实现用户身份验证和访问控制。
集成性：Spring Security 与 Spring 生态系统紧密集成，特别是与Spring框架、Spring Boot 和 Spring MVC 等模块。它提供了与这些框架的无缝集成，使开发人员能够在应用程序中方便地应用安全性控制。开发人员可以借助Spring Security的集成特性，更加高效地构建安全可靠的应用程序。
可定制性和可扩展性：Spring Security 提供了高度可定制和可扩展的功能。开发人员可以根据应用程序的需求，灵活配置和定制各种安全特性。它提供了丰富的选项和扩展点，使开发人员能够根据具体需求自定义安全策略和规则。
支持多种认证和授权方式：Spring Security 支持多种身份验证和授权方式。它可以轻松集成基于表单登录、基于令牌的身份验证、集成外部身份提供商等不同的认证方式。这使得开发人员能够根据应用程序的特定需求选择合适的认证方式，并实现灵活的授权控制。
安全性功能扩展：除了基本的身份验证和授权功能外，Spring Security 还提供了丰富的安全性功能扩展。它支持 Remember Me 功能，允许用户保持登录状态。它还提供了多因素认证、单点登录等高级功能，帮助开发人员构建更加安全和用户友好的应用程序。
社区支持和更新：Spring Security 是一个活跃的开源项目，拥有庞大的社区支持。它得到了广泛的使用和贡献，不断更新和改进。这意味着开发人员可以获得最新的安全性更新和改进，并从社区的经验和资源中获得帮助和支持。

总之，Spring Security 是一个强大而灵活的安全框架，为应用程序提供了全面的身份验证和授权功能。它的集成性、可定制性和可扩展性使开发人员能够轻松构建安全可靠的应用程序，并根据特定需求选择适合的认证和授权方式。通过使用 Spring Security，开发人员可以确保应用程序的安全性，保护用户数据，并提供良好的用户体验。

2. 认证和授权基础

2.1. 用户认证和授权的概念

用户认证和授权是Spring Security中的核心概念，用于确保应用程序的安全性和访问控制。

用户认证：用户认证是指验证用户的身份是否合法和真实。在应用程序中，用户需要提供凭据（如用户名和密码）进行认证，以证明他们是合法的用户。Spring Security提供了多种认证方式，包括基于表单登录、基于令牌的身份验证和集成外部身份提供商等。通过认证过程，Spring Security可以验证用户提供的凭据，并确保其合法性，以便后续进行授权和访问控制。
用户授权：用户授权是指为用户分配合适的权限，以确定其可以访问的资源和操作。在应用程序中，不同的用户可能具有不同的角色和权限。通过授权过程，Spring Security可以定义和管理用户的访问权限，以确保只有具备相应权限的用户可以执行特定的操作和访问受限资源。Spring Security支持基于角色的授权、基于资源的授权以及自定义的授权策略，开发人员可以根据应用程序的需求进行灵活配置。

用户认证和授权在Spring Security中密切相关，它们共同构成了应用程序的安全机制。通过用户认证，Spring Security验证用户的身份，确认其合法性；通过用户授权，Spring Security授予用户相应的权限，限制其访问资源和执行操作的范围。这两个概念的结合使用，可以有效保护应用程序的安全性，防止未经授权的访问和恶意操作。

2.2. 认证和授权的区别和联系

认证和授权是 Spring Security 中两个关键概念，它们在应用程序安全领域扮演着不同的角色。

区别：
- 认证：认证是验证用户身份的过程。它验证用户提供的凭据（如用户名和密码），确定用户是否合法和真实。认证的目的是确认用户是其所声称的身份，并为后续的授权过程建立信任基础。
- 授权：授权是为用户分配相应的权限，决定用户可以访问的资源和执行的操作。授权基于已认证的用户身份，根据用户的角色和权限规则来限制其访问范围。授权的目的是确保用户只能执行其所被授予的合法操作，保护敏感数据和系统资源。
联系：
- 相互依赖：认证和授权是相互依赖的过程。在进行授权之前，必须先对用户进行认证，以确认其身份的合法性。只有通过认证的用户才能被授权访问资源和执行操作。
- 安全性保障：认证和授权共同确保应用程序的安全性。认证验证用户身份，防止未经身份验证的用户访问系统；授权限制用户的操作范围，防止未经授权的用户执行敏感操作和访问受限资源。

认证和授权在 Spring Security 中具有不同的功能和目的。认证验证用户的身份，建立信任基础；授权分配权限，限制用户的访问范围。两者紧密联系，共同构成了应用程序的安全机制，确保只有合法用户并且具备相应权限的用户能够安全地访问和操作系统。

2.3. Spring Security 的认证和授权流程

Spring Security 的认证和授权流程是确保应用程序安全的关键步骤。下面将详细解释 Spring Security 认证和授权的流程：

认证流程：
(1) 用户提供凭据：用户通过应用程序的登录界面或其他方式提供用户名和密码等凭据。
(2) 凭据验证：应用程序接收到用户提供的凭据后，Spring Security 会使用配置的认证方式（如用户名密码认证、LDAP 认证、OAuth 认证等）对凭据进行验证。
(3) 认证成功：如果凭据验证成功，Spring Security 会创建一个认证成功的安全上下文，并在当前会话中建立用户的认证信息。
(4) 认证失败：如果凭据验证失败，Spring Security 会返回相应的错误信息或重定向到登录界面，要求用户重新输入凭据。

授权流程：
(1) 资源访问：用户在应用程序中尝试访问受限资源或执行受限操作。
(2) 授权检查：Spring Security 根据用户的认证信息，结合事先配置的权限规则和角色信息，进行授权检查，判断用户是否具有足够的权限来访问资源或执行操作。
(3) 授权通过：如果用户被授予访问资源或执行操作的权限，Spring Security 会允许用户继续访问所请求的资源。
(4) 授权拒绝：如果用户未被授予相应的权限，Spring Security 会拒绝用户的访问请求，并返回相应的错误信息或跳转到授权拒绝页面。

3. Spring Security 的核心组件

3.1. `SecurityContext` 和 `SecurityContextHolder`

SecurityContext 和 SecurityContextHolder 是 Spring Security 的两个核心概念，用于管理和存储用户的安全信息。

SecurityContext：
- SecurityContext 是一个接口，用于表示当前用户的安全上下文，其中包含了用户的认证信息和授权信息。
- SecurityContext 通常包含一个 Authentication 对象，该对象代表了用户的认证信息，包括用户名、密码、角色等。
- SecurityContext 还可以包含其他与安全相关的信息，如会话信息、访问控制列表等。
  在整个应用程序中，SecurityContext 存储着当前用户的安全状态，可以被不同的组件和服务共享和访问。
SecurityContextHolder：
- SecurityContextHolder 是一个用于管理 SecurityContext 的持有者，提供了对 SecurityContext 的访问和操作方法。
- SecurityContextHolder 采用 ThreadLocal 模式来存储 SecurityContext，确保每个线程都有独立的安全上下文。
- SecurityContextHolder 提供了静态方法来获取和设置当前线程的 SecurityContext，以及清除当前线程的 SecurityContext。
- SecurityContextHolder 可以通过 SecurityContextHolder.setStrategy() 方法配置不同的策略。

使用 SecurityContext 和 SecurityContextHolder 可以实现以下功能：

获取当前用户的认证信息：通过 SecurityContextHolder.getContext().getAuthentication() 方法可以获取当前用户的认证信息，包括用户名、密码、角色等。
设置当前用户的认证信息：通过 SecurityContextHolder.getContext().setAuthentication() 方法可以设置当前用户的认证信息，例如在用户登录成功后将认证信息存储到 SecurityContext 中。
清除当前用户的认证信息：通过 SecurityContextHolder.clearContext() 方法可以清除当前线程的 SecurityContext，通常在用户注销或会话过期时使用。

通过 SecurityContext 和 SecurityContextHolder 的使用，我们可以方便地管理和访问用户的安全信息，实现身份认证和授权功能，以及进行与安全相关的操作和判断。

3.2. `Authentication` 和 `UserDetails`

Authentication 和 UserDetails 用于表示用户的身份认证信息和用户详细信息。

Authentication：
- Authentication 接口代表了用户的身份认证信息，包括用户名、密码、角色等。
- Authentication 对象是在用户进行身份认证后创建的，存储了用户的认证结果和相关信息。
- Authentication 对象通常包含一个 Principal 对象和一组 GrantedAuthority 对象。Principal 对象代表了用户的身份标识，可以是用户名、用户ID或其他唯一标识。GrantedAuthority 对象代表了用户的权限或角色，用于后续的授权决策。
UserDetails：
- UserDetails 对象包含了用户的基本信息，如用户名、密码、账号是否过期、账号是否锁定、权限信息，如角色、权限列表等等。
- UserDetails 对象通常是通过 UserDetailsService 从数据源中加载的，可以是数据库、LDAP等。

使用 Authentication 和 UserDetails 可以实现以下功能：

获取当前用户的认证信息：通过 SecurityContextHolder.getContext().getAuthentication() 方法可以获取当前用户的 Authentication 对象，其中包含了用户的身份认证信息和授权信息。
获取用户的详细信息：通过 Authentication 对象的 getPrincipal() 方法可以获取到用户的 Principal 对象，通过 UserDetailsService 可以加载对应的 UserDetails 对象，从而获取用户的详细信息。
进行用户身份认证：通过 AuthenticationManager 接口可以进行用户的身份认证，根据用户提供的用户名和密码进行验证，最终创建并返回一个认证成功的 Authentication 对象。
进行用户授权决策：通过 Authentication 对象中的 GrantedAuthority 列表可以判断用户是否具有特定的权限或角色，从而进行授权决策。

3.3. `AccessDecisionManager` 和 AccessControlList

AccessDecisionManager 用于访问决策和访问控制策略的实现。它负责根据用户的认证信息和请求的访问权限来决定是否允许用户访问受保护的资源。它接收到用户的认证信息和访问请求后，会通过一系列的决策过程来判断用户是否具有访问权限。这些决策过程可以包括以下几个步骤：

收集用户的认证信息：AccessDecisionManager 首先会获取当前用户的认证信息，包括用户的身份、角色和权限等。
获取资源的访问规则：AccessDecisionManager 需要获取受保护资源的访问规则，这些规则定义了哪些用户或角色具有访问权限。
决策过程：根据用户的认证信息和资源的访问规则，AccessDecisionManager 开始进行决策过程。它会根据预先定义的策略（如 “授权许可” 或 “拒绝许可” 等）来判断用户是否被授予访问权限。
决策结果：AccessDecisionManager 在决策过程结束后会得出一个最终的决策结果，该结果指示用户是否被允许访问资源。

AccessControlList（访问控制列表）在 Spring Security 中并不是一个特定的类或组件。它只是一个通用的术语，用于描述访问控制策略和规则的集合，以便对资源的访问进行控制。

使用 AccessDecisionManager 和 AccessControlList 可以实现以下功能：

访问控制决策：AccessDecisionManager 根据 AccessControlList 中定义的权限策略，对用户的访问请求进行授权决策，决定是否允许用户访问受保护的资源。
定制访问控制策略：通过配置 AccessDecisionManager 和 AccessControlList，可以定义不同资源的访问控制策略，如角色、权限等。
动态更新访问控制策略：AccessControlList 可以根据需要进行动态更新，以实现灵活的访问控制策略调整，无需重新启动应用程序。

通过 AccessDecisionManager 和 AccessControlList 可以实现灵活的访问控制策略，并根据用户的认证信息和请求的访问权限进行访问决策。这为应用程序提供了精细的访问控制能力，确保只有经过授权的用户才能访问受保护的资源。

4. 基本使用和配置

4.1. 添加 Spring Security 依赖

如果是基于 Spring Boot 的项目，可添加 starter 依赖：

<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-starter-security</artifactId>
</dependency>

也可以直接添加 Spring Security 的原始包依赖：

<dependency>
	<groupId>org.springframework.security</groupId>
	<artifactId>spring-security-config</artifactId>
</dependency>
<dependency>
	<groupId>org.springframework.security</groupId>
	<artifactId>spring-security-web</artifactId>
</dependency>

注意：Spring Security 的核心包是 org.springframework.security:spring-security-core，上面引入的包中已经传递依赖了该包，所以这里可不显式申明依赖。

4.2. 配置Spring Security的基本步骤

创建新项目或在已更新已有项目并确保已添加了 Spring Security 依赖。
创建一个 Spring Security 的配置类，用于配置安全规则和其他相关设置。可以直接继承 WebSecurityConfigurerAdapter 类，并覆写其中的方法来进行自定义配置。以下是一个示例的配置类：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled=true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.formLogin().and().csrf().disable();
	}
}

创建一个实现了 UserDetailsService 接口的自定义用户服务类，用于加载用户信息。以下是一个示例的自定义用户服务类：

@Service
public class MyUserDetailsService implements UserDetailsService {
	@Override
	public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
		// 根据用户名从数据库加载用户信息
		return new User(username, "password", Collections.<GrantedAuthority>empty());
	}
}

4.3. 配置认证和授权规则

覆写 SecurityConfig 其中的 configure(HttpSecurity http) 方法来配置认证和授权规则：

@Override
protected void configure(HttpSecurity http) throws Exception {
	http
		// 省略其他配置
		.authorizeRequests()
			.antMatchers("/admin/**").hasRole("ADMIN")
			.anyRequest().authenticated();
}

4.4. 使用表单登录和基本身份验证

覆写 SecurityConfig 其中的 configure(HttpSecurity http) 方法来配置表单登录和基本身份验证：

@Override
protected void configure(HttpSecurity http) throws Exception {
	http
		// 省略其他配置
		.formLogin()
			.loginPage("/login")
			.permitAll()
			.and()
		.logout()
			.logoutUrl("/logout")
			.permitAll();
}

4.5. 配置会话管理策略

覆写 SecurityConfig 其中的 configure(HttpSecurity http) 方法来增加会话管理策略：

@Override
protected void configure(HttpSecurity http) throws Exception {
	http
		// 省略其他配置
		.sessionManagement()
			.invalidSessionUrl("/sessionInvalid")
			.maximumSessions(1)
				.maxSessionsPreventsLogin(false)
				.expiredUrl("/sessionExpired");
}