Spring Boot 3 集成 Spring Security（1）
文章目录
Spring Security 是一个强大、灵活的安全框架，广泛用于保护 Java 应用程序。随着 Spring Boot 3 和 Java 17 的引入，Spring Security 继续增强其功能，为开发者提供了更简化的配置和现代化的安全实践。
本文将详细介绍如何在 Spring Boot 3 中集成 Spring Security，涵盖基本认证、密码加密等核心功能。
1. 简介与概念
Spring Security的重要核心功能功能是“认证”和“授权”，即**用户认证（Authentication）和用户授权（Authorization）**两部分：
（1）用户认证：验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求提供用户名和密码，系统通过校验用户名和密码来完成认证过程。
（2）用户授权：验证某个用户是否有权限执行某个操作。在一个系统中，不同用户所具有的权限是不同的。比如对一个文件来说，有的用户只能进行读取，而有的用户可以进行修改。一般来说，系统会为不同的用户分配不同的角色，而每个角色则对应一系列的权限。
Spring Security的特点
- 和Spring无缝整合
- 全面的权限控制
- 专门为Web开发而设计
- 重量级
Spring Security实现权限
要对Web资源进行保护，最好的办法莫过于Filter
要对方法调用进行保护，最好的方法莫过于AOP
Spring Security进行认证和鉴权的时候就是利用一系列的Filter进行拦截的。
如图所示，一个请求要想访问到API就会从左到右经过蓝线框里的过滤器，其中绿色部分是负责认证的过滤器，蓝色部分就是负责异常处理，橙色部分则是负责授权。经过一系列拦截最终访问到我们的API。
- FilterSecurityInterceptor：是一个方法级的过滤器，基本位于过滤链的最底部。
- ExceptionTranslationFilter：是一个异常过滤器，用来处理在认证授权过程中抛出的异常。
- UsernamePasswordAuthenticationFilter：对
/login的POST请求做拦截，校验表单中用户名、密码。
这里我们只需要重点关注两个过滤器即可：UsernamePasswordAuthenticationFilter负责登陆认证，FilterSecurityInterceptor负责权限授权。
用户认证流程
自定义组件
根据认证流程，我们需要自定义以下组件：
- UserDetails
- loadUserByUsername
- passwordEncoder
1、登陆Filter，判断用户名和密码是否正确，生成token
2、认证解析token组件，判断请求头是否有token，如果有认证完成
3、在配置类配置相关认证类
2. 基础配置
Spring Boot 3 使用自动配置来简化 Spring Security 的集成。但在许多实际场景中，我们需要自定义安全配置，下面介绍基本的 Spring Security 配置步骤。
2.1. 添加依赖
首先，在 pom.xml 中添加 Spring Security 依赖：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
接着，在 application.yml 中配置安全设置。
2.1 基本认证与授权配置
首先，我们通过创建 SecurityConfig 类来自定义 Spring Security 的配置。该配置类通常需要实现 SecurityFilterChain，Spring Security 通过过滤器链的方式来处理 HTTP 请求。过滤器链由一系列的过滤器 (Filter) 组成，这些过滤器按照配置的顺序依次处理请求。每个过滤器完成特定的安全检查或操作（如身份验证、授权、会话管理等），然后将请求传递给下一个过滤器。
示例代码：
package cn.harry.config;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.Customizer;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework原文地址：https://blog.csdn.net/qq_35098526/article/details/144029420
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！