最新Spring Security实战教程之Spring Security安全框架指南_Java

前言

随着web应用和微服务架构的普及，作为java开发者如何保证系统免受各种安全威胁（如未经授权的访问、数据泄露、跨站请求伪造等）成为一个我们必须要解决的问题。

spring security 作为spring 生态系统中的核心组件，通过提供认证（authentication）与授权（authorization）和针对常见攻击等一系列安全功能，为开发者构建安全稳定的应用提供了强有力的支持。

什么是spring security？

官方文档：https://docs.spring.io/spring-security/reference/index.html

spring security是一个基于spring框架的强大安全解决方案，它为应用提供了一整套安全服务，主要包括以下几个方面：

认证（authentication）：确定访问者身份的过程。spring security通过多种方式（如表单登录、basic认证、oauth2等）实现用户身份验证。
授权（authorization）：根据用户身份和权限确定资源访问级别。开发者可以通过配置或注解的方式，灵活地控制不同用户对不同资源的访问权限。
防护机制：包括防止跨站请求伪造（csrf）、点击劫持等攻击手段，保障应用在网络攻击面前的稳定性。

这种以拦截器和过滤器链为核心的设计，使得spring security能够在请求到达业务逻辑之前，先进行安全检查，从而构建出一层坚固的防护屏障。

特性	spring security	apache shiro
学习曲线	较陡峭	易上手
功能完整性	★★★★★	★★★☆☆
spring生态集成	原生支持	需要适配
微服务支持	oauth2/jwt	需自行扩展
社区活跃度	极高	一般

spring security典型应用场景

传统web应用安全

通过配置实现url级权限控制

@configuration
@enablewebsecurity
public class websecurityconfig {
    @bean
    public securityfilterchain securityfilterchain(httpsecurity http) throws exception {
        http
            .authorizehttprequests(auth -> auth
                .requestmatchers("/admin/**").hasrole("admin")
                .anyrequest().authenticated()
            )
            .formlogin(form -> form
                .loginpage("/login")
                .permitall()
            );
        return http.build();
    }
}

前后端分离架构

jwt令牌自动校验
无状态会话管理
跨域安全配置(cors)

微服务安全网关

资源服务器配置示例

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://auth-server:9000

快速搭建安全环境

以博主本机环境为例

jdk 17+
spring boot 3.4.3
maven 3.9+
ide（intellij idea或vs code）

为了方便大家学习给大家提供一个官方代码案例地址：
https://github.com/spring-projects/spring-security-samples/tree/main

❶ 创建spring boot项目

使用 start.spring.io 生成项目，勾选以下依赖：

<dependencies>
    <dependency>
        <groupid>org.springframework.boot</groupid>
        <artifactid>spring-boot-starter-web</artifactid>
    </dependency>
    <dependency>
        <groupid>org.springframework.boot</groupid>
        <artifactid>spring-boot-starter-security</artifactid>
    </dependency>
</dependencies>

❷ 测试安全访问

创建测试控制器，我们希望访问 /public 无需验证身份，访问 /private 需要用户登录

@restcontroller
public class democontroller {
    @getmapping("/public")
    public string publicapi() {
        return "无需认证的公开接口";
    }
    @getmapping("/private")
    public string privateapi() {
        return "需要登录的私有接口";
    }
}

现在我们不管访问哪一个接口地址，均会跳出一个登陆页

账号默认 user ，密码由spring security 自动帮我们生成，观察控制台

❸ 实现url身份验证

通过上述测试要求，目前我们访问 /public 还是会出现登录要求，接下来我们创建一个陪你类，以实现这个需求

@configuration
public class basicsecurityconfig {
    // 配置安全策略
    @bean
    public securityfilterchain filterchain(httpsecurity http) throws exception {
        http.
                authorizehttprequests(authorize -> authorize
                        .requestmatchers("/public/**").permitall()
                        .anyrequest().authenticated()
                )
                .formlogin(withdefaults())
                .logout(withdefaults());
        return http.build();
    }
}

现在我们继续访问 /public 发现已经不再需要身份验证了，可以直接访问测试