目錄
- 一、Spring Security 概述
-
- 1.1 Spring Security 核心功能
- 1.2 Spring Security 與 Shiro 對比
- 二、Spring Boot 整合 Spring Security 基礎
-
- 2.1 整合依賴導入
- 2.2 默認安全配置
- 2.3 自定義用戶認證
- 2.4 自定義登錄與注銷
- 三、Spring Security 授權控制
-
- 3.1 基于角色的授權
- 3.2 基于資源的授權
- 3.3 動態權限
- 四、實戰案例（安全的用戶管理系統）
-
- 4.1 系統角色設計
- 4.2 接口權限控制
- 4.3 登錄日志記錄與安全審計
一、Spring Security 概述
1.1 Spring Security 核心功能
Spring Security 是一個基于 Spring 框架的安全框架，為基于 Spring 的企業應用系統提供聲明式的安全訪問控制解決方案，其核心功能涵蓋了認證、授權、防 CSRF、會話管理等多個重要方面。
- 認證（Authentication）：認證是 Spring Security 的基礎功能，用于驗證用戶身份。它通過用戶提供的憑證（如用戶名和密碼），與系統中存儲的用戶信息進行比對，以確認用戶身份的合法性。例如，在一個在線購物系統中，當用戶登錄時，需要輸入用戶名和密碼，Spring Security 會驗證這些信息是否與數據庫中存儲的用戶數據匹配。如果匹配成功，用戶就被認為是合法的，從而可以繼續訪問系統的其他功能；如果匹配失敗，系統會提示用戶重新輸入正確的用戶名和密碼，或者進行找回密碼等操作。Spring Security 支持多種認證方式，包括基于表單的認證、HTTP Basic 認證、OAuth2 認證、JWT 認證等，以滿足不同場景下的安全需求。
- 授權（Authorization）：授權是在用戶通過認證之后，決定用戶能夠訪問哪些資源或執行哪些操作的過程。它基于用戶的角色、權限等信息進行判斷。例如，在一個企業內部管理系統中，管理員角色可能擁有創建、修改、刪除用戶的權限，而普
