一、基本配置
1. 引入依賴
在Spring Boot項目中，使用Spring Security首先需要引入相應的依賴。在pom.xml中添加spring-boot-starter-security依賴：
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId>
</dependency>2. 配置安全規則
Spring Security提供了多種配置安全規則的方式，包括使用Java配置類、注解或XML配置文件。在Spring Boot項目中，通常使用Java配置類來配置安全規則。
通過繼承WebSecurityConfigurerAdapter類并重寫其configure方法，可以定義用戶認證和授權的相關規則。例如：
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter { @Autowired private UserDetailsService userDetailsService; @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/login", "/register").permitAll() // 允許匿名訪問登錄和注冊頁面 .anyRequest().authenticated() // 其他請求都需要認證 .and() .formLogin() .loginPage("/login") // 自定義登錄頁面 .permitAll() .and() .logout() .permitAll(); // 允許匿名用戶訪問注銷URL } @Autowired public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception { auth .userDetailsService(userDetailsService) .passwordEncoder(passwordEncoder()); // 使用密碼編碼器 } @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); // 使用BCrypt進行密碼加密 }
}二、認證過程
Spring Security的認證過程通常涉及以下幾個步驟：
-
用戶提交認證信息：用戶通過表單或其他方式提交用戶名和密碼等認證信息。
-
AuthenticationFilter攔截請求：Spring Security中的
UsernamePasswordAuthenticationFilter（或其他自定義的認證過濾器）會攔截用戶的登錄請求。 -
封裝認證信息：過濾器將請求中的認證信息封裝成
UsernamePasswordAuthenticationToken對象。 -
調用AuthenticationManager：將封裝好的
AuthenticationToken傳遞給AuthenticationManager進行認證。 -
認證提供者執行認證：
AuthenticationManager會調用一個或多個AuthenticationProvider進行實際的認證操作。AuthenticationProvider會調用UserDetailsService來獲取用戶信息，并與提交的認證信息進行比對。 -
認證成功或失敗：如果認證成功，會將用戶的認證信息封裝成
Authentication對象，并存儲在SecurityContextHolder中，供后續操作使用；如果認證失敗，則拋出異常，并由Spring Security處理相應的錯誤響應。
三、授權過程
授權過程是在用戶認證成功后進行的，用于控制用戶對資源的訪問權限。
-
訪問資源：用戶嘗試訪問某個受保護的資源。
-
攔截器攔截請求：Spring Security中的攔截器（如
FilterSecurityInterceptor）會攔截用戶的請求。 -
獲取所需權限：攔截器會調用
FilterInvocationSecurityMetadataSource來獲取被攔截URL所需的全部權限。 -
訪問決策：攔截器會調用
AccessDecisionManager進行訪問決策。AccessDecisionManager會根據用戶的認證信息、請求的URL和配置的權限規則來判斷用戶是否有權訪問該資源。 -
授權成功或失敗：如果授權成功，用戶可以繼續訪問資源；如果授權失敗，則拋出異常，并由Spring Security處理相應的錯誤響應。
四、其他功能
除了基本的認證和授權功能外，Spring Security還提供了許多其他安全相關的功能，如：
- 防止跨站請求偽造（CSRF）：Spring Security可以自動為表單添加CSRF令牌，并驗證提交請求中的令牌值，以防止CSRF攻擊。
- 會話管理：Spring Security提供了會話固定保護、會話超時等會話管理功能。
- 加密和簽名：Spring Security支持使用加密算法對敏感信息進行加密，以及使用簽名算法對消息進行簽名和驗證，以確保信息的機密性和完整性。
)
