Spring Security 完全指南：什么是 Spring Security？为什么使用？完整配置教程与实战案例

Spring Security 是一个功能强大、安全性高的 Java 安全框架，提供了基于 Spring 的身份验证、授权、会话管理、CSRF 保护等安全特性。本文将详细介绍 Spring Security 的核心概念、优势、使用方法，以及企业级实战配置，帮助你快速搭建安全的 Spring Boot 应用。

1. Spring Security 到底是什么？

Spring Security 是一个高度可定制的安全框架，致力于为 Spring 应用程序提供声明式安全保护。它基于 Servlet API（Spring Boot 后适用 Spring Security 6+ 基于 Jakarta EE），提供了认证（Authentication）、授权（Authorization）、会话管理、CSRF 保护、跨站请求伪造防护等核心功能。

官方定位：Spring Security 致力于为 Spring 应用程序提供安全保护。它是 Spring 生态中最成熟、最稳定的安全框架。

核心模块：

认证模块：用户名/密码、SSO、OAuth2、JWT 等认证方式
授权模块：基于角色的访问控制（RBAC）、基于方法的权限控制
会话管理：会话固定攻击防护、并发控制
Web 安全：CSRF 防护、点击劫持防护、HTTP 头安全配置
密码管理：密码加密、密码策略、忘记密码流程

2. 为什么选择 Spring Security？

选择 Spring Security 有以下几个核心优势：

安全可靠：基于 Spring 生态，安全级别高，有完善的漏洞修复机制和社区支持
开箱即用：提供完整的安全配置模板，快速实现基础安全
高度可扩展：支持 OAuth2、JWT、SSO、LDAP、CAS 等多种认证方式
集成方便：与 Spring Boot、Spring Cloud 框架无缝集成
功能全面：内置 CSRF 防护、会话管理、密码加密、权限控制等企业级安全特性
社区活跃：官方文档完善，插件生态丰富，持续更新维护
代码质量可控：提供统一的授权规则和安全配置，团队协作更规范

3. 如何配置 Spring Security？

3.1 依赖引入

在 pom.xml 中添加以下依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

<!-- JWT 支持（可选） -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.12.6</version>
</dependency>

3.2 基础配置（推荐方式）

在 application.yml 中配置：

spring:
  security:
    user:
      name: admin
      password: admin123
    # 控制台默认用户名密码

3.3 完整配置示例

创建 SecurityConfig 配置类：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/public/**", "/login").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .defaultSuccessUrl("/dashboard")
                .permitAll()
            )
            .logout(logout -> logout
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login")
                .permitAll()
            )
            .csrf(csrf -> csrf.disable()) // 生产环境建议开启
            .cors(cors -> cors.disable());
        
        return http.build();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return PasswordEncoderFactories.createDelegatingPasswordEncoder();
    }
}

3.4 JWT 认证配置（企业级推荐）

@Configuration
@EnableWebSecurity
public class JwtSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/auth/**").permitAll()
                .anyRequest().authenticated()
            )
            .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class)
            .csrf(csrf -> csrf.disable());
        
        return http.build();
    }

    @Bean
    public JwtAuthenticationFilter jwtAuthenticationFilter() {
        // 实现 JWT 过滤器逻辑
        return new JwtAuthenticationFilter();
    }
}

4. 实战使用案例

4.1 基于角色的访问控制

// 权限控制注解
@PreAuthorize("hasRole('ADMIN')")
@PreAuthorize("hasAuthority('CREATE_USER')")

// 基于方法的权限控制
@RestController
@RequestMapping("/admin")
public class AdminController {
    
    @GetMapping("/users")
    @PreAuthorize("hasRole('ADMIN')")
    public List<User> getUsers() {
        return userService.list();
    }
}

4.2 OAuth2 认证配置

@Configuration
@EnableWebSecurity
public class OAuth2Config {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .oauth2Login(oauth2 -> oauth2
                .loginPage("/login")
                .defaultSuccessUrl("/dashboard")
            );
        
        return http.build();
    }
}

5. 企业级最佳实践

使用默认用户名密码：生产环境建议使用默认用户名 + 强密码，或通过配置禁用
开启 CSRF 防护：生产环境建议开启，避免 CSRF 攻击
使用 HTTPS：生产环境必须开启 HTTPS
使用 JWT + Refresh Token：对于 API 服务器，推荐使用 JWT 认证
密码加密：使用 PasswordEncoder 实现密码加密存储
权限控制：使用 @PreAuthorize 注解进行细粒度权限控制
会话管理：生产环境建议使用 Redis 存储会话信息
日志记录：记录登录失败日志，监控异常登录

6. 总结

Spring Security 是 Spring 生态中最成熟、最稳定的安全框架，提供了完善的认证、授权、会话管理等安全特性。通过简单的配置即可实现基础安全，结合 JWT、OAuth2 等方案可快速搭建企业级安全系统。

推荐阅读：

官方文档：https://docs.spring.io/spring-security/reference/index.html
GitHub 仓库：https://github.com/spring-projects/spring-security

本文由 Clarity 学习台 AI 助手生成