Spring Security基础：快速搭建安全认证系统

开篇：什么是Spring Security？它能用来做什么？

在现代的互联网应用中，安全性是非常重要的一个方面。无论是网站登录、支付功能，还是管理后台，都离不开对用户身份的验证和权限的管理。而Spring Security就是一个专门用于帮助我们实现这些功能的强大工具。

简单来说，Spring Security 是一个专为 Spring 应用设计的安全框架，它可以轻松地为我们提供以下核心功能：

• 认证（Authentication）：确认用户是谁（比如用户登录）
• 授权（Authorization）：决定用户可以访问哪些资源（比如普通用户不能删除文章）

举个生活中的例子来理解这两个概念：

如果说你是某个公司的员工，你进入公司大楼需要刷卡。这张卡确认了你是这个公司的一员（认证）。但即使你是员工，也可能进不去总经理办公室——因为你的卡片并没有“总经理层”的权限（授权）。

通过学习 Spring Security，我们可以给自己的 Java Web 项目加入类似的安全控制机制，保护用户数据和系统资源不被非法访问。

本教程将从零开始，手把手教你使用 Spring Security 搭建一个具有基础安全认证功能的小型项目，适合完全零基础的学习者入门。

---

环境准备：搭建开发环境

要开始我们的学习之旅，先准备好开发环境。以下是推荐的开发工具和版本要求：

1. 安装 JDK（Java Development Kit）

我们使用的是 Java 编程语言，所以首先要安装 JDK。推荐使用 JDK 8 或更高版本。你可以到 Oracle 或 OpenJDK 下载安装包。

安装完成后，在命令行中运行以下命令查看是否安装成功：

java -version
javac -version

2. 安装 IntelliJ IDEA

IntelliJ IDEA 是一款非常受欢迎的 Java IDE，社区版免费，适合初学者使用。官网地址：https://www.jetbrains.com/idea/download/

如果你是初学者，可以选择下载 Community 版本。

安装后启动 IDEA，设置好 JDK 路径即可。

3. 创建 Spring Boot 项目

我们使用的是 Spring Boot 框架来集成 Spring Security，因为它大大简化了项目的配置过程。

打开浏览器，前往 https://start.spring.io/，这是 Spring 提供的一个在线项目生成器。

按如下步骤创建项目：

1. Project: Maven
2. Language: Java
3. Spring Boot Version: 最新稳定版（如 3.x）
4. Group: com.example
5. Artifact: springsecuritydemo
6. 添加依赖：
   • Spring Web（用于构建 Web 应用）
   • Spring Security（我们要学的核心内容）

点击 Generate，下载项目压缩包并解压。

然后在 IntelliJ IDEA 中选择 “Open” 打开该项目文件夹。

项目结构看起来像这样：

src/
├── main/
│   ├── java/
│   │   └── com.example.springsecuritydemo/
│   │       ├── SpringsecuritydemoApplication.java
│   ├── resources/
│       ├── application.properties

现在我们已经准备好写代码了！

---

核心概念讲解：让你听得懂、看得明白

1. 认证（Authentication）

就是判断用户是否是你允许进来的人，例如登录系统时输入用户名和密码的过程。

Spring Security 默认会提供一个登录页面，并且会自动保护所有接口的安全性（必须登录才能访问）。

举个简单例子：

你去银行取钱，ATM会让你插入银行卡并输入密码。这就是认证过程 —— 验证你是谁。

2. 授权（Authorization）

确定用户是否有权限执行某个操作或访问某项资源。

还是上面的例子：

即使你输入了正确的密码，也只能取自己账户里的钱，而不能转走别人的存款，这就是授权限制。

授权通常分为两部分：

• 角色（Role）
• 权限（Authority）

角色是一种分类方式。比如：“管理员”、“普通用户”。

权限则更具体，比如：“创建用户”、“修改文章”等。

一个角色可以拥有多个权限。

3. 过滤器链（Filter Chain）

你可以把它想象成一个安检口。当有人访问系统的时候，必须经过一道道过滤检查，才能进入内部系统。

比如：

• 有没有访问令牌？
• 是否已经登录？
• IP 是否合法？

这些都是由过滤器链完成的。

Spring Security 就是通过这一系列过滤器实现安全控制的。

---

实战项目：一步步搭建安全认证系统

下面我们将跟着教程，完成一个小型项目，实现用户登录、访问受保护资源的功能。

第一步：开启 Spring Security

打开主类 SpringsecuritydemoApplication.java，内容如下：

package com.example.springsecuritydemo;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;

@SpringBootApplication
public class SpringsecuritydemoApplication {
    public static void main(String[] args) {
        SpringApplication.run(SpringsecuritydemoApplication.class, args);
    }
}

目前这个类只负责启动 Spring Boot 项目。我们现在要启用 Spring Security 的功能。

其实不需要手动编码也可以看到效果！Spring Security 插入 Spring Boot 后，默认就会生效。我们可以直接运行项目。

第二步：启动项目测试默认安全机制

在 IntelliJ IDEA 中运行 SpringsecuritydemoApplication 类。

访问 http://localhost:8080，你会看到一个简单的提示信息或者空白页 —— 因为我们还没有定义任何页面。

但是你刷新一下，会出现一个登录页面。

这是因为 Spring Security 自动拦截了所有请求，并加上了默认的登录页。

默认用户名是 user，密码会在控制台输出，类似：

Using generated security password: abcd1234

尝试登录，就可以访问默认资源了。虽然没什么功能，但它证明了 Spring Security 正常工作了！

第三步：添加简单的受保护页面

我们在 com.example.springsecuritydemo 包下新建一个控制器类：HelloController.java，代码如下：

package com.example.springsecuritydemo;

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class HelloController {

    @GetMapping("/hello")
    public String hello() {
        return "欢迎来到 Spring Security 认证世界！";
    }
}

重启项目后，访问 http://localhost:8080/hello，此时会被强制跳转到登录页。

只有输入用户名和密码（如 user / 控制台输出的密码）之后，才能看到该页面内容。

第四步：自定义登录账号密码

前面看到的默认账号密码不太友好。我们可以自己设置。

打开 application.properties 文件，增加以下内容：

spring.security.user.name=admin
spring.security.user.password=123456
spring.security.user.roles=user

重新启动项目，现在你可以使用用户名 admin 和密码 123456 登录了。

第五步：配置安全策略（SecurityConfig）

接下来我们要自定义一些安全规则，比如：放开某些页面不需要登录就能访问。

我们新建一个配置类，叫做 SecurityConfig.java：

package com.example.springsecuritydemo;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
public class SecurityConfig {

    // 设置内存中用户
    @Bean
    public InMemoryUserDetailsManager users() {
        UserDetails user = User.withDefaultPasswordEncoder()
                .username("user")
                .password("password")
                .roles("USER")
                .build();

        UserDetails admin = User.withDefaultPasswordEncoder()
                .username("admin")
                .password("adminpass")
                .roles("ADMIN")
                .build();

        return new InMemoryUserDetailsManager(user, admin);
    }

    // 配置安全策略
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(login -> login
                .loginPage("/login")  // 可以指定自定义登录页
                .permitAll()
            )
            .logout(logout -> logout.permitAll());

        return http.build();
    }
}

这段代码做了几件事情：

• 使用内存保存两个用户：user（角色 USER）和 admin（角色 ADMIN）
• 设置访问控制：首页 / 不需要登录，其他页面都需要认证
• 自定义登录页面路径为 /login（我们暂时没有写这个页面）

第六步：自定义登录页面（可选）

如果你想自己设计登录页面而不是用默认的，可以在 resources/templates 目录下创建一个 HTML 页面（比如叫 login.html），并在 SecurityConfig 中指向它。

但这部分内容略复杂，建议先掌握基本流程后再深入学习。

---

常见问题解答

Q1：Spring Security 如何验证用户信息？

A：可以通过数据库、内存、LDAP等多种方式进行认证。最常见的方式是在数据库中存储用户信息，并使用 Spring Data JPA + Spring Security 来进行整合。

Q2：为什么访问不了我的公开页面，比如 index.html？

A：可能的原因是你没有正确配置允许匿名访问的路径。请检查 SecurityConfig 类中的 .permitAll() 是否应用到了对应路径上。

Q3：登录失败怎么办？

A：检查用户名、密码是否正确。如果是内存用户，请确认 InMemoryUserDetailsManager 中的密码是否正确设置了加密方式（推荐使用 BCryptPasswordEncoder）。

Q4：如何退出登录？

A：访问 /logout 路径即可登出（默认由 Spring Security 提供支持），并且可以返回登录页。

Q5：能否同时允许多个用户类型（如管理员和普通用户）？

A：当然可以！只要你在配置中区分不同角色并设置对应的权限规则即可。

---

学习建议：下一步怎么学得更好？

掌握了今天的基础知识之后，你可以继续沿着以下几个方向深入学习：

1. 数据库存储用户信息

当前项目使用的是内存用户，实际项目中应该使用数据库来持久化用户数据。

推荐学习内容：

• 使用 Spring Boot + JPA + MySQL 存储用户信息
• 实现自定义 UserDetailsService
• 加密密码（BCryptPasswordEncoder）

2. 角色和权限控制升级

学会根据不同用户的角色设置不同的访问权限：

• 对 /admin/** 请求要求有 ROLE_ADMIN 角色
• 普通用户只能访问 /user/**

3. JWT Token 登录模式（适合前后端分离）

学习使用 JWT（JSON Web Token）作为无状态认证方案，代替传统的 Session 认证。

4. 社交登录（如微信、QQ、GitHub）

学会如何与 OAuth2 整合，实现社交平台一键登录。

---

总结

恭喜你完成了本篇《Spring Security基础：快速搭建安全认证系统》的教程！

今天我们做了以下几件事：

• 了解了 Spring Security 的作用和应用场景
• 搭建了完整的开发环境
• 学习了认证、授权等核心概念
• 动手实现了第一个安全认证的小项目
• 解决了一些新手常遇到的问题
• 并规划了下一步的学习路线

Spring Security 虽然看起来有点复杂，但只要坚持实践，就一定能掌握。记住一句话：

编程最好的老师，不是别人写的教程，而是你亲手敲出来的每一行代码。

现在就打开你的 IDE，动手再做一遍今天的项目吧！

祝你早日成为安全领域的高手 🚀