Spring Boot整合Spring Security案例

wen java案例 2026-08-10 2

Spring Boot整合Spring Security实战：从零搭建安全认证与授权体系（附完整代码案例）

目录导读

为什么需要Spring Security？——安全困境与解决方案
环境准备与项目初始化（Spring Initializr + Maven依赖）
核心配置：SecurityFilterChain的魔法
内存用户与JDBC用户认证实战
基于角色的URL级授权（RBAC模型）
自定义登录页与JWT无状态认证（进阶）
常见问题问答（FAQ）
总结与最佳实践建议

为什么需要Spring Security？

Spring Boot整合Spring Security案例

在Web应用开发中，认证（Authentication）与授权（Authorization）是安全基石，很多开发者习惯用拦截器（HandlerInterceptor）或过滤器（Filter）手动实现，但面对会话固定攻击、CSRF、密码加密、OAuth2等复杂场景时，自制方案极易出现漏洞，Spring Security作为Spring家族的安全框架，提供了过滤链（Filter Chain）机制，能够以声明式方式无缝嵌入Spring Boot应用,是目前Java生态事实上的标准。

环境准备与项目初始化

在Spring Initializr中勾选Spring Web、Spring Security、Thymeleaf（可选）以及MySQL Driver和Spring Data JPA（用于JDBC案例）,核心依赖如下：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>

注意：引入Security依赖后，所有接口默认被保护，启动时会生成随机密码，控制台会输出临时密码。

核心配置：SecurityFilterChain的魔法

Spring Boot 3.x摒弃了繁琐的WebSecurityConfigurerAdapter，改用SecurityFilterChain Bean,这是最核心的配置类：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/", "/public/**").permitAll()
                .requestMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .permitAll()
            )
            .logout(logout -> logout.logoutSuccessUrl("/"));
        return http.build();
    }
}

这段配置实现了：静态资源放行、/admin/**需要管理员角色、其他所有请求必须登录，逻辑清晰,比XML配置优雅十倍。

内存用户与JDBC用户认证实战

内存用户适合开发测试：

@Bean
public UserDetailsService users() {
    UserDetails admin = User.withDefaultPasswordEncoder()
        .username("admin").password("123456").roles("ADMIN").build();
    return new InMemoryUserDetailsManager(admin);
}

JDBC认证（连接数据库）更实用：

@Bean
public DataSource dataSource() { ... } // 配置数据源
@Bean
public JdbcUserDetailsManager users(DataSource dataSource) {
    return new JdbcUserDetailsManager(dataSource);
}

同时执行SQL脚本创建users和authorities表，Spring Security会自动查询。

基于角色的URL级授权（RBAC模型）

现代系统通常用@PreAuthorize注解做方法级安全,首先启用全局方法安全：

@EnableMethodSecurity
public class SecurityConfig { ... }

业务代码示例：

@GetMapping("/admin/dashboard")
@PreAuthorize("hasRole('ADMIN') or hasAuthority('ROLE_MODERATOR')")
public String adminDashboard() {
    return "dashboard";
}

配合@Secured或@RolesAllowed，可以灵活控制到方法级别,比URL过滤更安全。

自定义登录页与JWT无状态认证（进阶）

前后端分离时代，JWT成为主流，核心思路：配置UsernamePasswordAuthenticationFilter为JWT验证过滤器。

// 伪代码展示核心逻辑
@Component
public class JwtAuthFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(...) {
        String token = parseToken(request);
        if (token != null && validateToken(token)) {
            SecurityContextHolder.getContext().setAuthentication(
                new UsernamePasswordAuthenticationToken(user, null, authorities));
        }
        filterChain.doFilter(request, response);
    }
}

在SecurityFilterChain中，通过addFilterBefore把JWT过滤器放在用户名密码校验之前，这样每个请求都无状态验证,极大提升可伸缩性。

常见问题问答（FAQ）

Q1：为什么我登录后CSRF拒绝访问？ 答：Spring Security默认开启CSRF保护，如果使用非浏览器客户端（如Postman）调试，需在配置中禁用：http.csrf(csrf -> csrf.disable())，或者为请求添加_csrf参数。

Q2：如何自定义密码加密方式？ 答：推荐使用BCryptPasswordEncoder，避免明文存储,配置：

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

Q3：Spring Security与OAuth2如何共存？ 答：可以通过配置多个SecurityFilterChain，一个用于/oauth/**，一个用于业务接口,实现微服务网关层统一认证。

总结与最佳实践建议

本文通过完整案例演示了Spring Boot整合Spring Security的核心链路：依赖引入 → 过滤链配置 → 认证数据源 → 授权规则 → 实战进阶。最佳实践提示：

生产环境必须使用BCryptPasswordEncoder并加强解密盐值（Salt）。
对敏感接口添加@PreAuthorize做二次校验。
结合Spring Session实现分布式会话管理。
异常处理使用自定义AccessDeniedHandler返回统一JSON格式,避免泄露内部路径。

无论你是开发单体应用还是微服务，Spring Security都能提供标准化、可扩展的安全保障,建议阅读官方参考文档深度理解。