1. 为什么需要Spring Security？
在企业级应用开发中，安全性始终是不可忽视的重要环节。我经历过太多项目因为初期忽视安全防护，导致后期不得不投入大量人力物力进行补救的案例。Spring Security作为Spring生态中的安全框架，提供了一套完整的认证和授权解决方案。
Spring Boot 3.x作为当前主流版本，与Spring Security 6.x的整合带来了一些新特性。最显著的变化包括：
- 配置类的全面迁移（从WebSecurityConfigurerAdapter到组件式配置）
- 默认启用的CSRF保护机制
- 更严格的密码编码策略
- 响应式编程的深度支持
实际开发中常见的安全需求包括：用户登录验证、权限控制、防止CSRF攻击、会话管理、OAuth2集成等。Spring Security都能提供开箱即用的解决方案。
2. 基础环境搭建
2.1 项目初始化
使用Spring Initializr创建项目时，需要勾选以下依赖：
xml复制<dependencies>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<!-- 其他必要依赖 -->
</dependencies>
2.2 安全配置类
传统的WebSecurityConfigurerAdapter方式在Spring Security 6中已被弃用。新的配置方式如下：
java复制@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(auth -> auth
.requestMatchers("/public/**").permitAll()
.anyRequest().authenticated()
)
.formLogin(form -> form
.loginPage("/login")
.permitAll()
);
return http.build();
}
}
2.3 密码编码器
Spring Security 6强制要求配置密码编码器：
java复制@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
3. 用户认证实现
3.1 内存用户存储（开发环境）
java复制@Bean
public UserDetailsService userDetailsService() {
UserDetails user = User.builder()
.username("user")
.password(passwordEncoder().encode("password"))
.roles("USER")
.build();
UserDetails admin = User.builder()
.username("admin")
.password(passwordEncoder().encode("admin"))
.roles("ADMIN")
.build();
return new InMemoryUserDetailsManager(user, admin);
}
3.2 数据库用户存储
实际项目中更常见的是从数据库加载用户：
java复制@Service
public class CustomUserDetailsService implements UserDetailsService {
@Autowired
private UserRepository userRepository;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
User user = userRepository.findByUsername(username)
.orElseThrow(() -> new UsernameNotFoundException("User not found"));
return new org.springframework.security.core.userdetails.User(
user.getUsername(),
user.getPassword(),
getAuthorities(user.getRoles())
);
}
private Collection<? extends GrantedAuthority> getAuthorities(Set<Role> roles) {
return roles.stream()
.map(role -> new SimpleGrantedAuthority(role.getName()))
.collect(Collectors.toList());
}
}
4. 权限控制实现
4.1 方法级安全控制
启用方法级安全注解：
java复制@Configuration
@EnableMethodSecurity
public class MethodSecurityConfig {
// 配置类内容
}
在服务层使用权限控制：
java复制@Service
public class ProductService {
@PreAuthorize("hasRole('ADMIN')")
public Product createProduct(Product product) {
// 实现逻辑
}
@PostAuthorize("returnObject.owner == authentication.name")
public Product getProduct(Long id) {
// 实现逻辑
}
}
4.2 动态权限控制
对于更复杂的权限场景，可以实现PermissionEvaluator：
java复制public class CustomPermissionEvaluator implements PermissionEvaluator {
@Override
public boolean hasPermission(Authentication authentication,
Object targetDomainObject,
Object permission) {
// 自定义权限判断逻辑
}
}
在配置类中注册：
java复制@Bean
public MethodSecurityExpressionHandler methodSecurityExpressionHandler() {
DefaultMethodSecurityExpressionHandler handler =
new DefaultMethodSecurityExpressionHandler();
handler.setPermissionEvaluator(new CustomPermissionEvaluator());
return handler;
}
5. 常见问题排查
5.1 CSRF保护导致POST请求失败
解决方案：
java复制http.csrf(csrf -> csrf
.ignoringRequestMatchers("/api/**")
);
5.2 静态资源被拦截
正确配置方式：
java复制http.authorizeHttpRequests(auth -> auth
.requestMatchers("/css/**", "/js/**", "/images/**").permitAll()
);
5.3 密码编码不匹配
确保存储的密码是经过编码的：
java复制user.setPassword(passwordEncoder.encode(rawPassword));
6. 高级功能扩展
6.1 记住我功能
java复制http.rememberMe(remember -> remember
.key("uniqueAndSecret")
.tokenValiditySeconds(86400)
);
6.2 登录成功/失败处理
java复制http.formLogin(form -> form
.successHandler((request, response, authentication) -> {
// 自定义成功逻辑
})
.failureHandler((request, response, exception) -> {
// 自定义失败逻辑
})
);
6.3 退出登录定制
java复制http.logout(logout -> logout
.logoutUrl("/custom-logout")
.logoutSuccessUrl("/")
.deleteCookies("JSESSIONID")
);
7. 测试策略
7.1 安全测试注解
java复制@WithMockUser(username="user", roles={"USER"})
@Test
void testUserAccess() {
// 测试代码
}
7.2 测试安全配置
java复制@Autowired
private MockMvc mockMvc;
@Test
void shouldAllowPublicAccess() throws Exception {
mockMvc.perform(get("/public"))
.andExpect(status().isOk());
}
@Test
void shouldDenyUnauthenticatedAccess() throws Exception {
mockMvc.perform(get("/private"))
.andExpect(status().isUnauthorized());
}
8. 生产环境最佳实践
- 使用HTTPS加密所有通信
- 配置适当的内容安全策略(CSP)
- 实现速率限制防止暴力破解
- 定期审计安全配置
- 使用专业的密码哈希算法(如Argon2)
关键安全头部的配置示例：
java复制http.headers(headers -> headers
.contentSecurityPolicy(csp -> csp
.policyDirectives("default-src 'self'")
)
.frameOptions(frame -> frame
.sameOrigin()
)
);
在真实项目部署时，我通常会结合Spring Actuator的health端点来监控安全状态，同时建议使用专业的Web应用防火墙(WAF)作为额外防护层。对于特别敏感的操作，可以考虑实现二次认证机制。