Java Spring Security 入门指南

🔥关注墨瑾轩，带你探索编程的奥秘！🚀
🔥超萌技术攻略，轻松晋级编程高手🚀
🔥技术宝库已备好，就等你来挖掘🚀
🔥订阅墨瑾轩，智趣学习不孤单🚀
🔥即刻启航，编程之旅更有趣🚀

💡 刨根问题：为什么选择 Spring Security？

Spring Security 是一款非常强大且灵活的安全框架，它提供了一整套用于保护应用程序的方法。无论你是需要实现简单的用户名/密码登录，还是复杂的 OAuth2 认证，Spring Security 都能胜任。它还允许你通过简单的配置来定制安全策略，从而满足特定的应用需求。

🚀 准备工作

首先，确保你的项目已经集成了 Spring Boot。如果你使用 Maven，可以在 pom.xml 文件中添加以下依赖：

<!-- 添加 Spring Security 依赖 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

🛠️ 实现基本认证与授权

接下来，我们将通过一个简单的例子来看看如何使用 Spring Security 进行用户认证和授权。

1. 创建用户：使用 InMemoryUserDetailsManager 配置一些用户。
2. 配置安全规则：定义哪些 URL 需要认证/授权。
3. 测试认证：尝试访问需要认证的页面。

📝 创建用户

我们可以使用 InMemoryUserDetailsManager 类来简单地创建一些用户：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.password.NoOpPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()  // 允许未认证的用户访问这些路径
                .anyRequest().authenticated()          // 所有其他请求都需要认证
                .and()
            .formLogin()
                .loginPage("/login")                   // 自定义登录页面
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        PasswordEncoder passwordEncoder = NoOpPasswordEncoder.getInstance(); // 不使用密码加密
        
        auth.inMemoryAuthentication()
            .passwordEncoder(passwordEncoder)
            .withUser("user")                           // 用户名
            .password("password")                       // 密码
            .roles("USER");                             // 角色
    }
}

🧪 使用 Java 代码进行认证和授权

接下来，我们需要配置 Spring Security 以实现基本的认证和授权。这里是一个简单的示例：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.stereotype.Service;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.password.NoOpPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return NoOpPasswordEncoder.getInstance(); // 不使用密码加密
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()  // 允许未认证的用户访问这些路径
                .anyRequest().authenticated()          // 所有其他请求都需要认证
                .and()
            .formLogin()
                .loginPage("/login")                   // 自定义登录页面
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder()); // 使用密码编码器
    }
}

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private InMemoryUserDetailsManager inMemoryUserDetailsManager;
    
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 这里通常会从数据库中加载用户信息
        // 使用 InMemoryUserDetailsManager 作为示例
        return inMemoryUserDetailsManager.loadUserByUsername(username);
    }
    
    @Bean
    public InMemoryUserDetailsManager inMemoryUserDetailsManager() {
        PasswordEncoder passwordEncoder = NoOpPasswordEncoder.getInstance();
        return new InMemoryUserDetailsManager(
            User.withUsername("user")
                .password(passwordEncoder.encode("password")) // 使用密码编码器
                .authorities("ROLE_USER")
                .build()
        );
    }
}

📊 更多高级特性

Spring Security 提供了许多高级特性，例如基于角色的访问控制 (RBAC)、OAuth2、OpenID Connect 等。下面是一个简单的例子，展示了如何使用 RBAC 来管理不同用户的权限：

1. 定义角色：在用户中定义角色。
2. 限制访问：根据角色限制访问特定资源。

📝 定义角色并限制访问

我们将在上面的基础上添加一个简单的基于角色的访问控制功能。以下是修改后的代码示例：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.stereotype.Service;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.password.NoOpPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return NoOpPasswordEncoder.getInstance(); // 不使用密码加密
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()  // 允许未认证的用户访问这些路径
                .antMatchers("/admin/**").hasRole("ADMIN")  // 只有管理员可以访问
                .anyRequest().authenticated()          // 所有其他请求都需要认证
                .and()
            .formLogin()
                .loginPage("/login")                   // 自定义登录页面
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder()); // 使用密码编码器
    }
}

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private InMemoryUserDetailsManager inMemoryUserDetailsManager;
    
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 这里通常会从数据库中加载用户信息
        // 使用 InMemoryUserDetailsManager 作为示例
        return inMemoryUserDetailsManager.loadUserByUsername(username);
    }
    
    @Bean
    public InMemoryUserDetailsManager inMemoryUserDetailsManager() {
        PasswordEncoder passwordEncoder = NoOpPasswordEncoder.getInstance();
        return new InMemoryUserDetailsManager(
            User.withUsername("user")
                .password(passwordEncoder.encode("password"))
                .authorities("ROLE_USER")
                .build(),
            User.withUsername("admin")
                .password(passwordEncoder.encode("adminpass"))
                .authorities("ROLE_ADMIN")
                .build()
        );
    }
}

🌟 总结

通过以上的步骤，我们已经了解了如何使用 Spring Security 来实现基本的用户认证和授权。Spring Security 是一个非常强大的工具，支持多种复杂的认证授权功能。你可以根据需要添加更多的安全机制，以满足各种安全需求。

希望这篇俏皮可爱的指南对你有所帮助，如果你还有任何疑问，欢迎随时留言哦！😊

---

注意：上面的代码示例是为了教学目的而编写的，实际使用时请根据你的项目环境进行适当的调整，并考虑使用更安全的密码编码方式（例如 BCrypt）。