JAVA中Spring Security示例及常见问题_Java

前言

spring security‌

spring-security-oauth2
spring-security-jwt

一、spring-security-oauth2

各版本的名称及发布日期：

版本	适用 spring boot	适用 spring security	状态	备注‌
‌2.5.x	2.5.x - 2.7.x	5.5.x - 5.7.x	‌维护中	推荐稳定版
‌2.4.x	2.4.x - 2.6.x	5.4.x - 5.6.x	已弃用	建议升级
‌2.3.x	2.3.x - 2.5.x	5.3.x - 5.5.x	已弃用	不推荐
‌2.2.x	2.2.x - 2.4.x	5.2.x - 5.4.x	已弃用	仅旧项目
‌2.1.x	2.1.x - 2.3.x	5.1.x - 5.3.x	已弃用	不推荐

spring boot 2.7.x + jdk 8‌的环境推荐版本‌

<dependency>
    <groupid>org.springframework.security.oauth</groupid>
    <artifactid>spring-security-oauth2</artifactid>
    <version>2.5.2.release</version> <!-- 最新稳定版 -->
</dependency>

spring security‌ 版本匹配

<dependency>
    <groupid>org.springframework.security</groupid>
    <artifactid>spring-security-core</artifactid>
    <version>5.7.6</version> <!-- 推荐版本 -->
</dependency>

注意事项‌

spring security oauth2 已弃用‌
官方推荐迁移到 ‌spring authorization server‌（spring security 5.7+ 内置）
新项目建议直接使用 spring-security-oauth2-authorization-server（spring boot 3.x+）
‌jdk 8 兼容性‌
- spring security oauth2 2.5.x 仍支持 jdk 8
- 如需升级到 spring boot 3.x，需切换至 jdk 17+
‌常见问题‌
- 如果遇到 nosuchmethoderror，检查依赖冲突（如旧版 spring-security-jwt）
- 推荐使用 spring-security-oauth2-autoconfigure 简化配置

迁移建议‌

如果计划升级，可参考以下路径：

短期方案‌：继续使用 oauth2 2.5.x（维护模式）
长期方案‌：迁移到 ‌spring authorization server‌（需要 spring boot 3.x+）

spring authorization server‌

二、spring-security-jwt

版本选择‌
‌spring-security-jwt‌ 最终稳定版：

    <dependency>
        <groupid>org.springframework.security</groupid>
        <artifactid>spring-security-jwt</artifactid>
        <version>1.1.1.release</version> <!-- 官方最后维护版本 -->
    </dependency>

兼容性说明‌：
- 需搭配 spring-security-oauth2 2.5.x 使用（如 2.5.2.release）。
- 不支持 spring boot 3.x 或 jdk 17+。

‌2. 基础配置示例‌

‌jwt 密钥配置‌
jwtconfig.java

@configuration
public class jwtconfig {
    @value("${jwt.secret}")
    private string secret;
    @bean
    public jwtaccesstokenconverter jwtaccesstokenconverter() {
        jwtaccesstokenconverter converter = new jwtaccesstokenconverter();
        converter.setsigningkey(secret); // 设置签名密钥
        return converter;
    }
    @bean
    public tokenstore tokenstore() {
        return new jwttokenstore(jwtaccesstokenconverter());
    }
}

需在 application.properties 中配置 jwt.secret=your-256-bit-secret。
‌oauth2 资源服务器配置‌
resourceserverconfig.java

@configuration
@enableresourceserver
public class resourceserverconfig extends resourceserverconfigureradapter {
    @override
    public void configure(httpsecurity http) throws exception {
        http
            .authorizerequests()
            .antmatchers("/api/public/**").permitall()
            .anyrequest().authenticated();
    }
}

‌3. 生成和解析 jwt 令牌‌

‌生成令牌（授权服务器端）‌
jwttokenenhancer.java

 class jwttokenenhancer implements tokenenhancer {
    @override
    public oauth2accesstoken enhance(
        oauth2accesstoken accesstoken,
        oauth2authentication authentication) {
        map<string, object> additionalinfo = new hashmap<>();
        additionalinfo.put("organization", "example-org");
        ((defaultoauth2accesstoken) accesstoken)
            .setadditionalinformation(additionalinfo);
        return accesstoken;
    }
}

‌解析令牌（资源服务器端）‌
jwtutils.java

 class jwtutils {
    public static claims extractclaims(string token, string secret) {
        return jwts.parser()
            .setsigningkey(secret.getbytes())
            .parseclaimsjws(token)
            .getbody();
    }
}

‌4. 注意事项‌