Spring Security 的认证与授权核心概念
认证与授权的区别与联系
在安全框架中，认证是确认“你是谁”的过程，而授权则是判断“你是否有权限访问某个资源”的过程。通过这两步，系统能确保只有经过验证的用户才能执行特定操作。了解这两者的分工，有助于设计更清晰的访问控制策略。认证通常涉及凭据验证，如用户名、密码、令牌等，而授权则更多地依赖于角色、权限和策略。
在 Spring Security 中，SecurityContext会保存当前线程的认证信息，Authentication对象代表已验证的主体及其权限。通过 SecurityContextHolder，应用可以在任意位置获取到当前用户的身份与权限信息，从而实现灵活的访问控制。
理解这两者的关系，有助于你在后续教程中实现“从认证到授权”的完整流程，并保障应用的安全性。以下内容将围绕这两大核心展开，从最基本的机制到实战应用。
安全上下文与会话管理
SecurityContext是一个与当前请求绑定的上下文容器，里面存放了 Authentication 对象。通过读取和写入 SecurityContext，系统就能追踪当前用户的状态。
在有状态的应用中，浏览器通常通过会话维持认证信息，而在无状态架构下（如 JWT），认证信息会随请求携带，SecurityContext 的作用更多体现在服务端的对请求处理链的统一管理。无论哪种模式，正确处理认证和授权都需要保持一致性，以避免越权访问。
下面的代码片段展示了如何在 Spring Security 中使用用于读取、设置 SecurityContext 的基本方式：
// 示例：获取当前认证信息
Authentication auth = SecurityContextHolder.getContext().getAuthentication();
if (auth != null && auth.isAuthenticated()) {String username = auth.getName();// 进一步处理
}// 示例：手动设置认证信息
UsernamePasswordAuthenticationToken authentication =new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(authentication);
从零搭建：最小化的 Spring Security 配置
依赖和基本结构
要开始使用 Spring Security，第一步是引入依赖并建立一个最小化的安全配置。依赖选择要覆盖你所使用的 Spring 版本，常见的是 spring-boot-starter-security。通过简单的配置，你就能开启对应用的基本保护。
核心目标是让未认证的请求被重定向到登录页，已认证的请求能看到受保护的资源。默认行为会对所有请求进行保护，但你可以逐步放宽或细化限制，以适应不同的业务场景。
下面给出一个最小化的配置示例，展示如何将安全配置与基本认证开启结合起来。
package com.example.security;import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;@Configuration
public class SecurityConfig {@Beanpublic SecurityFilterChain filterChain(HttpSecurity http) throws Exception {http// 关闭 CSRF，简单场景更易理解，生产环境需结合前端能力和防护策略开启.csrf().disable()// 配置请求授权.authorizeRequests().antMatchers("/public/**").permitAll() // 公共入口.anyRequest().authenticated() // 其他请求需要认证.and()// 启用表单登录，便于演示.formLogin();return http.build();}
}
自定义认证处理
除了使用默认的表单登录，通常需要自定义 UserDetailsService 与 PasswordEncoder，以实现从数据库或其他数据源加载用户信息、以及安全的密码比对。
下面给出一个简单的自定义服务示例，展示如何实现 UserDetailsService，以及如何提供一个密码编码器。
package com.example.security;import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;@Configuration
public class SecurityBeans {@Beanpublic UserDetailsService userDetailsService() {return username -> {// 这里演示硬编码，实际应从数据库加载if ("admin".equals(username)) {return org.springframework.security.core.userdetails.User.withUsername("admin").password(passwordEncoder().encode("admin123")).roles("ADMIN").build();}throw new UsernameNotFoundException("User not found");};}@Beanpublic PasswordEncoder passwordEncoder() {return new BCryptPasswordEncoder();}
}
多种认证机制：表单登录、HTTP Basic、JWT
表单登录实现
表单登录是最直观的认证方式，用户通过提交用户名和密码来获得一个会话。Spring Security 提供了默认的表单登录处理器，便于快速上手。结合自定义 UserDetailsService，可以实现基于数据库的认证。
要点：在配置中启用 formLogin()，并结合自定义用户数据源与密码编码器，确保密码在存储与比对时的安全性。
示例配置片段如下：
http.authorizeRequests().anyRequest().authenticated().and().formLogin().loginPage("/login").permitAll().defaultSuccessUrl("/home", true);
基于 JWT 的无状态认证
对于微服务或前后端分离的应用，无状态认证通常选用 JSON Web Token（JWT）。前端在每次请求时携带 token，后端通过解析 token 来获取用户信息并设置到 SecurityContext。
核心要点是：无 cookie 会话、无服务端会话状态，token 的生成、签名与校验要安全可靠。以下给出一个简化的 JWT 处理流程示例，帮助理解实现要点。
// 伪代码：生成 JWT
String token = JwtUtil.generateToken(username, roles);// 伪代码：在过滤器中验证并设置 Authentication
if (JwtUtil.validateToken(token)) {String user = JwtUtil.extractUsername(token);List<GrantedAuthority> authorities = JwtUtil.extractAuthorities(token);Authentication auth = new UsernamePasswordAuthenticationToken(user, null, authorities);SecurityContextHolder.getContext().setAuthentication(auth);
}
细粒度的权限控制：基于角色与方法级别权限
基于 URL 的权限控制
最常见的授权策略是基于 URL 的访问控制，例如让 /admin/** 只能由 ADMIN 角色访问，/user/** 由 USER 或 ADMIN 访问。Spring Security 允许在配置中直接声明 antMatchers 的规则，以实现可读性强、易维护的访问策略。
优先级通常是从上到下匹配，最近匹配的规则生效；在复杂场景下，可以结合自定义的访问控制表达式来实现更细粒度的权限。
下面给出一个简单的路径授权示例，结合不同角色对资源进行分级访问：
http.authorizeRequests().antMatchers("/public/**").permitAll().antMatchers("/admin/**").hasRole("ADMIN").antMatchers("/user/**").hasAnyRole("USER", "ADMIN").anyRequest().authenticated();
方法级别权限：@PreAuthorize 与 SpEL
除了基于 URL 的授权，方法级别的权限控制能够在业务逻辑层对调用进行直接约束，避免在控制器层遗漏安全检查。@PreAuthorize 提供了强大的 SpEL 表达式能力，使得权限判断可以在方法执行前完成。
一个常见场景是：仅允许 admin 组成员执行特定服务方法。以下示例展示了如何在服务方法上应用注解：
import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.stereotype.Service;@Service
public class AdminService {@PreAuthorize("hasRole('ADMIN')")public void performAdminTask() {// 仅 ADMIN 能执行的操作}
}
安全防护要点：CSRF、CORS、会话管理
CSRF 攻击防护
跨站请求伪造（CSRF）攻击在浏览器环境中尤为常见，尤其是使用 cookie 携带会话信息的应用。使用 CSRF 防护对状态会话型应用至关重要，在无状态认证场景（如 JWT）中可以通过禁用 CSRF 来简化开发，但要确保其他防护机制到位。
Spring Security 提供了 CSRF 防护的默认实现，生产环境中通常需要根据前端架构调整策略，例如对 API 使用 header 令牌进行保护。
相关要点总结：启用 CSRF、在 API 场景下考虑禁用或自定义保护策略，以避免额外的安全风险。
跨域与跨站请求策略（CORS）
当前后端分离时，CORS 是前端访问后端时常遇到的问题。正确配置 CORS 可以允许来自受信任来源的请求、指定可用的方法与头部，并阻止潜在的跨域攻击。
Spring Security 与 Spring Framework 提供了配置 CORS 的方式，可以在全局或按路径进行细粒度控制，确保 API 的安全性与可用性之间的平衡。
实战演练：从登录到资源访问的完整流程
用户注册与登录流程示例
在实际系统中，用户通常需要先注册账号，经过验证后再进行登录以获取访问凭证。典型流程包括：输入凭据、后端校验、生成会话或颁发 token，以及前端持久化凭证。 注册与登录的安全要点在于密码的强度、哈希算法的选择，以及令牌的加密与有效期。
以下要点需要关注：使用强加密的密码存储（如 BCrypt、Argon2），并对登录尝试实行合适的限流策略，以降低暴力破解风险。
示例数据库与认证流程的设计应与下述安全配置保持一致，确保从前端发送凭证到后端认证的每一步都是受保护的。
// 登录控制器伪代码
@PostMapping("/login")
public ResponseEntity login(@RequestBody LoginRequest req) {// 调用自定义的 AuthenticationManager 进行认证Authentication authentication = authenticationManager.authenticate(new UsernamePasswordAuthenticationToken(req.getUsername(), req.getPassword()));// 认证成功后生成 JWT 或建立会话String token = tokenService.generateToken(authentication);return ResponseEntity.ok(new JwtResponse(token));
}
资源请求与权限校验流程
一旦用户成功认证，后续对受保护资源的访问需要经过授权判断。典型流程包括：前端携带凭证（如 JWT），后端提取并验证，随后基于权限进行分支处理，最终返回资源或错误信息。 正确的错误处理、清晰的未授权提示以及统一的异常拦截是良好 UX 与安全性的关键。
下面是一个简化的受保护控制器示例，展示如何在方法层进行权限校验并返回结果。
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.security.access.prepost.PreAuthorize;@RestController
public class ResourceController {@GetMapping("/admin/data")@PreAuthorize("hasRole('ADMIN')")public String adminData() {return "Sensitive admin data";}@GetMapping("/user/data")@PreAuthorize("hasAnyRole('USER','ADMIN')")public String userData() {return "User data";}
}
