Spring Security框架快速入門教程

更新時間：2026年04月09日 09:20:35 作者：趙廣陸

本文介紹了SpringSecurity框架及其在SpringBoot項目中的使用方法,包括創(chuàng)建工程、配置Spring容器、實現(xiàn)認證和授權(quán)等功能,并通過示例代碼詳細說明了如何配置用戶信息、安全攔截規(guī)則和授權(quán)規(guī)則,感興趣的朋友跟隨小編一起看看吧

1 Spring Security介紹

Spring Security是一個能夠為基于Spring的企業(yè)應(yīng)用系統(tǒng)提供聲明式的安全訪問控制解決方案的安全框架。由于它是Spring生態(tài)系統(tǒng)中的一員，因此它伴隨著整個Spring生態(tài)系統(tǒng)不斷修正、升級，在spring boot項目中加入springsecurity更是十分簡單，使用Spring Security 減少了為企業(yè)系統(tǒng)安全控制編寫大量重復(fù)代碼的工作。

2 創(chuàng)建工程

2.1 創(chuàng)建maven工程

創(chuàng)建maven工程 security-spring-security，工程結(jié)構(gòu)如下：

2）引入以下依賴：

在security-springmvc的基礎(chǔ)上增加spring-security的依賴：

<dependencies>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-web</artifactId>
            <version>5.1.4.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-config</artifactId>
            <version>5.1.4.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>org.springframework</groupId>
            <artifactId>spring-webmvc</artifactId>
            <version>5.1.5.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>javax.servlet</groupId>
            <artifactId>javax.servlet-api</artifactId>
            <version>3.0.1</version>
            <scope>provided</scope>
        </dependency>
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <version>1.18.8</version>
        </dependency>
    </dependencies>

2.2 Spring容器配置

同security-springmvc.

/**
 * @author Administrator
 * @version 1.0
 **/
@Configuration //相當于applicationContext.xml
@ComponentScan(basePackages = "com.oldlu.security.springmvc"
            ,excludeFilters = {@ComponentScan.Filter(type = FilterType.ANNOTATION,value = Controller.class)})
public class ApplicationConfig {
    //在此配置除了Controller的其它bean，比如：數(shù)據(jù)庫鏈接池、事務(wù)管理器、業(yè)務(wù)bean等。
}

2.3 Servlet Context配置

同security-springmvc.

/**
 * @author Administrator
 * @version 1.0
 **/
@Configuration//就相當于springmvc.xml文件
@EnableWebMvc
@ComponentScan(basePackages = "com.oldlu.security.springmvc"
        ,includeFilters = {@ComponentScan.Filter(type = FilterType.ANNOTATION,value = Controller.class)})
public class WebConfig implements WebMvcConfigurer {
    //視頻解析器
    @Bean
    public InternalResourceViewResolver viewResolver(){
        InternalResourceViewResolver viewResolver = new InternalResourceViewResolver();
        viewResolver.setPrefix("/WEB-INF/view/");
        viewResolver.setSuffix(".jsp");
        return viewResolver;
    }
    @Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/").setViewName("redirect:/login");
    }
}

2.4 加載 Spring容器

在init包下定義Spring容器初始化類SpringApplicationInitializer，此類實現(xiàn)WebApplicationInitializer接口，Spring容器啟動時加載WebApplicationInitializer接口的所有實現(xiàn)類。

/**
 * @author Administrator
 * @version 1.0
 **/
public class SpringApplicationInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {
    //spring容器，相當于加載 applicationContext.xml
    @Override
    protected Class<?>[] getRootConfigClasses() {
        return new Class[]{ApplicationConfig.class, WebSecurityConfig.class};
    }
    //servletContext，相當于加載springmvc.xml
    @Override
    protected Class<?>[] getServletConfigClasses() {
        return new Class[]{WebConfig.class};
    }
    //url-mapping
    @Override
    protected String[] getServletMappings() {
        return new String[]{"/"};
    }
}

3 認證

3.1 認證頁面

springSecurity默認提供認證頁面，不需要額外開發(fā),但實際中沒人用

3.2.安全配置

spring security提供了用戶名密碼登錄、退出、會話管理等認證功能，只需要配置即可使用。

在confifig包下定義WebSecurityConfifig，安全配置的內(nèi)容包括：用戶信息、密碼編碼器、安全攔截機制。

/**
 * @author Administrator
 * @version 1.0
 **/
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    //定義用戶信息服務(wù)（查詢用戶信息）
    @Bean
    public UserDetailsService userDetailsService(){
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        manager.createUser(User.withUsername("zhangsan").password("123").authorities("p1").build());
        manager.createUser(User.withUsername("lisi").password("456").authorities("p2").build());
        return manager;
    }
    //密碼編碼器
    @Bean
    public PasswordEncoder passwordEncoder(){
        return NoOpPasswordEncoder.getInstance();
    }
    //安全攔截機制（最重要）
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/r/r1").hasAuthority("p1")
                .antMatchers("/r/r2").hasAuthority("p2")
                .antMatchers("/r/**").authenticated()//所有/r/**的請求必須認證通過
                .anyRequest().permitAll()//除了/r/**，其它的請求可以訪問
                .and()
                .formLogin()//允許表單登錄
                .successForwardUrl("/login-success");//自定義登錄成功的頁面地址
    }
}

在userDetailsService()方法中，我們返回了一個UserDetailsService給spring容器，Spring Security會使用它來獲取用戶信息。我們暫時使用InMemoryUserDetailsManager實現(xiàn)類，并在其中分別創(chuàng)建了zhangsan、lisi兩個用戶，并設(shè)置密碼和權(quán)限。

而在confifigure()中，我們通過HttpSecurity設(shè)置了安全攔截規(guī)則，其中包含了以下內(nèi)容：

（1）url匹配/r/**的資源，經(jīng)過認證后才能訪問。

（2）其他url完全開放。

（3）支持form表單認證，認證成功后轉(zhuǎn)向/login-success。

關(guān)于HttpSecurity的配置清單請參考附錄 HttpSecurity。

加載 WebSecurityConfifig

修改SpringApplicationInitializer的getRootConfifigClasses()方法，添加WebSecurityConfifig.class：

 //spring容器，相當于加載 applicationContext.xml
    @Override
    protected Class<?>[] getRootConfigClasses() {
        return new Class[]{ApplicationConfig.class, WebSecurityConfig.class};
    }

3.2.Spring Security初始化

Spring Security初始化，這里有兩種情況若當前環(huán)境沒有使用Spring或Spring MVC，則需要將 WebSecurityConfifig(Spring Security配置類) 傳入超類，以確保獲取配置，并創(chuàng)建spring context。相反，若當前環(huán)境已經(jīng)使用spring，我們應(yīng)該在現(xiàn)有的springContext中注冊Spring Security(上一步已經(jīng)做將WebSecurityConfifig加載至rootcontext)，此方法可以什么都不做。在init包下定義SpringSecurityApplicationInitializer：

/**
 * @author Administrator
 * @version 1.0
 **/
public class SpringSecurityApplicationInitializer
        extends AbstractSecurityWebApplicationInitializer {
    public SpringSecurityApplicationInitializer() {
        //super(WebSecurityConfig.class);
    }
}

2.3.默認根路徑請求

在WebConfifig.java中添加默認請求根路徑跳轉(zhuǎn)到/login，此url為spring security提供：

@Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/").setViewName("redirect:/login");
    }

spring security默認提供的登錄頁面。

2.4.認證成功頁面

在安全配置中，認證成功將跳轉(zhuǎn)到/login-success，代碼如下：

    @RequestMapping(value = "/login-success",produces = {"text/plain;charset=UTF-8"})
    public String loginSuccess(){
        return " 登錄成功";
    }

2.5 測試

（1）啟動項目，訪問http://localhost:8080/security-spring-security/路徑地址

頁面會根據(jù)WebConfifig中addViewControllers配置規(guī)則，跳轉(zhuǎn)至/login，/login是pring Security提供的登錄頁面。

（2）登錄

1、輸入錯誤的用戶名、密碼

2、輸入正確的用戶名、密碼，登錄成功

（3）退出

1、請求/logout退出

2、退出后再訪問資源自動跳轉(zhuǎn)到登錄頁面

4 授權(quán)

實現(xiàn)授權(quán)需要對用戶的訪問進行攔截校驗，校驗用戶的權(quán)限是否可以操作指定的資源，Spring Security默認提供授

權(quán)實現(xiàn)方法。

在LoginController添加/r/r1或/r/r2

 /**
     * 測試資源1
     * @return
     */
    @GetMapping(value = "/r/r1",produces = {"text/plain;charset=UTF-8"})
    public String r1(){
        return " 訪問資源1";
    }
    /**
     * 測試資源2
     * @return
     */
    @GetMapping(value = "/r/r2",produces = {"text/plain;charset=UTF-8"})
    public String r2(){
        return " 訪問資源2";
    }

在安全配置類WebSecurityConfifig.java中配置授權(quán)規(guī)則：

.antMatchers("/r/r1").hasAuthority("p1") .antMatchers("/r/r2").hasAuthority("p2")

.antMatchers(“/r/r1”).hasAuthority(“p1”)表示：訪問/r/r1資源的 url需要擁有p1權(quán)限。

.antMatchers(“/r/r2”).hasAuthority(“p2”)表示：訪問/r/r2資源的 url需要擁有p2權(quán)限。

完整的WebSecurityConfifig方法如下：

  //安全攔截機制（最重要）
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/r/r1").hasAuthority("p1")
                .antMatchers("/r/r2").hasAuthority("p2")
                .antMatchers("/r/**").authenticated()//所有/r/**的請求必須認證通過
                .anyRequest().permitAll()//除了/r/**，其它的請求可以訪問
                .and()
                .formLogin()//允許表單登錄
                .successForwardUrl("/login-success");//自定義登錄成功的頁面地址

    }

測試：

1、登錄成功

2、訪問/r/r1和/r/r2，有權(quán)限時則正常訪問，否則返回403（拒絕訪問）