Spring Security零基础入门：30分钟搭建安全认证系统

算法边缘人

2026-01-13 09:11

阅读 254

大家好，我是小张，一名211高校的计算机专业研究生，平时喜欢在技术博客上分享学习心得。最近有好几个学弟学妹问我：“学后端开发，怎么给网站加登录功能？”、“听说Spring Security很强大但很难，真的适合新手吗？”

我当初学的时候也是一头雾水——文档术语一堆，配置又复杂，连“认证”和“授权”都分不清。但其实，Spring Security的核心思想非常直观。今天我就用最通俗的方式，带零基础的同学从零搭建一个带登录认证的Web应用，哪怕你只写过“Hello World”，也能跟得上！

📌 为什么我要写这篇教程？
因为我发现很多教程一上来就讲OAuth2、JWT、RBAC，却忽略了最基础的“账号密码登录”场景。而现实中，90%的小型产品（比如内部管理系统、创业MVP）根本不需要那么复杂！先掌握基础，再进阶才不迷路。

一、Spring Security到底是什么？能用来做什么？

简单说：Spring Security 是一个帮你保护Web应用的工具包。

想象一下：

用户访问你的网站，需要先登录
某些页面（比如后台管理）只有管理员能看
防止别人暴力破解密码
自动记住用户一周内不用重复登录

这些功能，如果自己从零实现，要处理表单、加密、Session、拦截器……代码量巨大还容易出错。而Spring Security把这些通用逻辑封装好了，你只需简单配置，就能获得企业级的安全防护。

💡 和前端、Python、JavaScript的关系？

前端：负责展示登录页面（HTML/CSS/JS），提交用户名密码给后端

后端（Java + Spring Security）：验证账号密码是否正确，生成登录状态

Python/Javascript：本文用Java做后端，但如果你用Python（如Django）或Node.js（JS），也有类似的安全框架（如Django Auth、Passport.js）。理解核心思想后，换语言也不怕！

二、环境准备：5分钟搭好开发环境

你需要安装什么？

| 工具 | 作用 | 版本建议 | |------|------是啥 | ------ | | JDK | Java运行环境 | JDK 17（推荐）或 JDK 8+ | | Maven | 项目依赖管理 | 3.6+ | | IDE | 写代码的编辑器 | IntelliJ IDEA（社区版免费）或 VS Code | | 浏览器 | 测试登录页面 | Chrome / Edge |

创建项目（两种方式）

方式1：使用Spring Initializr（推荐！）

打开 https://start.spring.io
填写：
- Project: Maven
- Language: Java
- Spring Boot: 3.x（最新稳定版）
- Group: com.example
- Artifact: security-demo
在 Dependencies 搜索并添加：
- Spring Web
- Spring Security
- Thymeleaf（用于简单前端页面）
点击 Generate 下载zip，解压后用IDE打开

方式2：手动创建（了解即可）

# 创建Maven项目结构
mkdir security-demo
cd security-demo
# 在pom.xml中添加Spring Boot和Security依赖（略，Initializr更简单）

⚠️ 避坑指南：
初学者千万别手动配依赖！版本冲突会让你崩溃。用Initializr一键生成最省心。

三、核心概念：3个词搞懂Spring Security

别被术语吓到，其实就这3件事：

1. 认证（Authentication）→ “你是谁？”

用户输入用户名+密码
系统验证是否匹配（比如查数据库）
成功 → 登录；失败 → 返回错误

2. 授权（Authorization）→ “你能干什么？”

用户登录后，能否访问 /admin 页面？
普通用户 vs 管理员，权限不同

3. 安全上下文（SecurityContext）

系统自动记录：当前是谁登录的、有什么权限
你写代码时，随时可以问：“现在是谁在操作？”

✅ 举个生活例子：
进公司大楼：

认证 = 刷工卡（证明你是员工）

授权 = 工卡级别决定你能进哪些楼层（研发部/财务部）

安全上下文 = 保安系统知道你现在在3楼，不是5楼

四、实战：手把手搭建登录系统

我们目标：做一个超简单的网站，有：

公开首页（所有人可看）
登录页（输入账号密码）
后台页（仅登录用户可看）

第1步：写一个公开首页

在 src/main/java/com/example/securitydemo/controller 下新建 HomeController.java：

package com.example.securitydemo.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;

@Controller
public class HomeController {
    @GetMapping("/")
    public String home() {
        return "home"; // 返回 home.html 页面
    }
}

在 src/main/resources/templates 下新建 home.html：

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>首页</title>
</head>
<body>
    <h1>欢迎来到我的网站！</h1>
    <p>这是一个公开页面，所有人都能看到。</p>
    <a href="/admin">去后台</a>
</body>
</html>

第2步：写一个后台页面（需要登录才能看）

继续在 Controller 中添加：

@GetMapping("/admin")
public String admin() {
    return "admin";
}

新建 templates/admin.html：

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>后台管理</title>
</head>
<body>
    <h1>后台管理页面</h1>
    <p>只有登录用户才能看到这里！</p>
    <form th:action="@{/logout}" method="post">
        <button type="submit">退出登录</button>
    </form>
</body>
</html>

第3步：配置Spring Security（关键！）

新建配置类 SecurityConfig.java：

package com.example.securitydemo.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    // 定义哪些路径需要登录，哪些不用
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/", "/home").permitAll() // 允许所有人访问首页
                .anyRequest().authenticated()              // 其他所有请求必须登录
            )
            .formLogin(form -> form
                .loginPage("/login")      // 自定义登录页路径
                .permitAll()              // 登录页本身允许未登录访问
            )
            .logout(logout -> logout
                .permitAll()              // 退出登录允许所有人访问
            );
        return http.build();
    }

    // 内存中存储用户（仅用于演示！真实项目用数据库）
    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails user = User.withDefaultPasswordEncoder()
            .username("user")
            .password("123456")
            .roles("USER")
            .build();

        return new InMemoryUserDetailsManager(user);
    }
}

🔍 代码解释：

.permitAll()：公开路径，无需登录

.authenticated()：必须登录才能访问

InMemoryUserDetailsManager：把用户存在内存里（方便测试，生产环境要用数据库）

第4步：添加登录页面

新建 templates/login.html：

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>登录</title>
</head>
<body>
    <h2>用户登录</h2>
    
    <!-- 如果登录失败，Spring Security会自动传error参数 -->
    <div th:if="${param.error}">
        <p style="color:red;">用户名或密码错误！</p>
    </div>

    <form th:action="@{/login}" method="post">
        <div>
            <label>用户名:</label>
            <input type="text" name="username" required />
        </div>
        <div>
            <label>密码:</label>
            <input type="password" name="password" required />
        </div>
        <button type="submit">登录</button>
    </form>
</body>
</html>

💡 注意字段名：
Spring Security 默认从表单中读取 username 和 password 字段。别写成 userName 或 pwd！

五、启动 & 测试

运行 SecurityDemoApplication.java（主启动类）
打开浏览器访问 http://localhost:8080

测试流程：

首页 → 可直接访问 ✅
点击“去后台” → 自动跳转到 /login（因为未登录）✅
输入：
- 用户名：user
- 密码：123456
登录成功 → 进入后台页 ✅
点击“退出登录” → 回到首页，再次点后台又需登录 ✅

🎉 恭喜！你已经用不到50行代码，实现了一个完整的认证系统！

六、新手常见问题解答（FAQ）

Q1：为什么我访问 `/admin` 没跳转登录页？

检查 SecurityConfig 中的路径匹配是否正确
确保 @EnableWebSecurity 注解已加
清除浏览器缓存（有时302重定向被缓存）

Q2：密码明文存储？太危险了！

你说对了！上面用 withDefaultPasswordEncoder() 是为了演示方便。真实项目必须加密！

改法（推荐BCrypt）：

// 替换 userDetailsService() 方法中的构建方式
@Bean
public UserDetailsService userDetailsService() {
    // 使用BCrypt加密密码
    String encodedPassword = "{bcrypt}$2a$10$dXJ3SW6G7P50lGmMkkmwe.20cQQubK3.HZWzG3YB1tlRy.fqvM/BG";
    // 实际应动态加密：new BCryptPasswordEncoder().encode("123456")

    UserDetails user = User.builder()
        .username("user")
        .password(encodedPassword)
        .roles("USER")
        .build();

    return new InMemoryUserDetailsManager(user);
}

🔒 安全提示：永远不要在代码中写明文密码！

Q3：我想用数据库存用户，怎么办？

引入 spring-boot-starter-data-jpa 和数据库驱动
创建 User 实体类
实现 UserDetailsService 接口，从数据库查用户（进阶内容，后续可学）

Q4：前端是Vue/React，还能用这个吗？

完全可以！但要改成 前后端分离模式：

后端提供 /api/login 接口（返回JSON）
前端用 JavaScript 发送 Ajax 请求
登录成功后，前端保存 Token（或 Session ID）
后续请求携带凭证

🌐 产品思维：
如果你的产品是 App 或小程序，后端只需提供 API，安全逻辑不变，只是交互形式不同。

七、下一步学习建议

你已经掌握了 Spring Security 的“骨架”。接下来可以：

1. 进阶方向路线图

阶段	学习内容	适用场景
基础巩固	数据库存储用户、自定义登录逻辑	内部管理系统
中级	JWT Token、Remember-Me记住登录	移动端API、Web应用
高级	OAuth2（微信/Google登录）、RBAC权限模型	开放平台、大型系统

2. 推荐实践项目

给你的毕业设计加上登录功能
用 Spring Security + Vue3 做一个待办事项应用
尝试集成 GitHub 登录（OAuth2）

3. 避坑提醒

不要一上来就学 JWT！先掌握 Session 认证
生产环境务必关闭默认的 /h2-console 等调试端点
密码策略：至少8位，含大小写+数字

结语

看到这里，你应该明白：Spring Security 并没有想象中那么可怕。它的设计哲学是“约定优于配置”——你只需告诉它“哪些要保护”，剩下的交给框架。

作为过来人，我想说：每个大神都曾被 Security 拦截器折磨过。但只要你动手敲一遍代码，理解就会豁然开朗。

如果你觉得这篇教程有帮助，欢迎关注我的博客（虚构哈 😄），我会持续更新“零基础学后端”系列。下期预告：《Spring Data JPA：三行代码操作数据库》！

最后送大家一句话：安全不是功能，而是产品的底线。无论你未来做前端、Python后端还是产品经理，理解安全基础，都会让你走得更远。

标签:前端PythonJavascript产品

最热最新

暂无评论

为你推荐

暂无相关推荐

Spring Security零基础入门：30分钟搭建安全认证系统

一、Spring Security到底是什么？能用来做什么？

二、环境准备：5分钟搭好开发环境

你需要安装什么？

创建项目（两种方式）

方式1：使用Spring Initializr（推荐！）

方式2：手动创建（了解即可）

三、核心概念：3个词搞懂Spring Security

1. 认证（Authentication）→ “你是谁？”

2. 授权（Authorization）→ “你能干什么？”

3. 安全上下文（SecurityContext）

四、实战：手把手搭建登录系统

第1步：写一个公开首页

第2步：写一个后台页面（需要登录才能看）

第3步：配置Spring Security（关键！）

第4步：添加登录页面

五、启动 & 测试

测试流程：

六、新手常见问题解答（FAQ）

Q1：为什么我访问 `/admin` 没跳转登录页？

Q2：密码明文存储？太危险了！

Q3：我想用数据库存用户，怎么办？

Q4：前端是Vue/React，还能用这个吗？

七、下一步学习建议

1. 进阶方向路线图

2. 推荐实践项目

3. 避坑提醒

结语

评论 0

为你推荐

精选内容

Spring Security零基础入门：30分钟搭建安全认证系统

一、Spring Security到底是什么？能用来做什么？

二、环境准备：5分钟搭好开发环境

你需要安装什么？

创建项目（两种方式）

方式1：使用Spring Initializr（推荐！）

方式2：手动创建（了解即可）

三、核心概念：3个词搞懂Spring Security

1. 认证（Authentication）→ “你是谁？”

2. 授权（Authorization）→ “你能干什么？”

3. 安全上下文（SecurityContext）

四、实战：手把手搭建登录系统

第1步：写一个公开首页

第2步：写一个后台页面（需要登录才能看）

第3步：配置Spring Security（关键！）

第4步：添加登录页面

五、启动 & 测试

测试流程：

六、新手常见问题解答（FAQ）

Q1：为什么我访问 /admin 没跳转登录页？

Q2：密码明文存储？太危险了！

Q3：我想用数据库存用户，怎么办？

Q4：前端是Vue/React，还能用这个吗？

七、下一步学习建议

1. 进阶方向路线图

2. 推荐实践项目

3. 避坑提醒

结语

评论 0

为你推荐

相关推荐

精选内容

Q1：为什么我访问 `/admin` 没跳转登录页？