你好 Spring Security

本节介绍如何使用 Spring Security 和 Spring Boot 的最低设置，然后指导您接下来的步骤。

完整的入门应用程序可在我们的示例仓库中找到。为方便起见，您可以下载一个由Spring Initializr 准备的最小 Spring Boot + Spring Security 应用程序。

更新依赖项

您首先需要将 Spring Security 添加到应用程序的类路径中；有两种方法可以做到这一点：使用 Maven 或 Gradle。

启动你好 Spring Security Boot

将 Spring Security 添加到类路径后，您现在可以运行 Spring Boot 应用程序。以下代码片段显示了一些输出，表明您的应用程序中已启用 Spring Security。

运行 Spring Boot 应用程序

  • Maven

  • Gradle

  • Jar

$ ./mvnw spring-boot:run
...
INFO 23689 --- [  restartedMain] .s.s.UserDetailsServiceAutoConfiguration :

Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336

...
$ ./gradlew :bootRun
...
INFO 23689 --- [  restartedMain] .s.s.UserDetailsServiceAutoConfiguration :

Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336

...
$ java -jar target/myapplication-0.0.1.jar
...
INFO 23689 --- [  restartedMain] .s.s.UserDetailsServiceAutoConfiguration :

Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336

...

现在它正在运行，您可以尝试访问一个端点以查看会发生什么。如果您在没有凭据的情况下访问端点，如下所示

查询受保护的 Boot 应用程序
$ curl -i https://:8080/some/path
HTTP/1.1 401
...

那么 Spring Security 会以 401 Unauthorized 拒绝访问。

如果您在浏览器中提供相同的 URL，它将重定向到默认登录页面。

如果您使用凭据（在控制台输出中找到）访问端点，如下所示

使用凭据查询
$ curl -i -u user:8e557245-73e2-4286-969a-ff57fe326336 https://:8080/some/path
HTTP/1.1 404
...

那么 Spring Boot 将处理该请求，在本例中返回 404 Not Found，因为 /some/path 不存在。

从这里，您可以

运行时预期

Spring Boot 和 Spring Security 的默认配置在运行时提供以下行为

了解 Spring Boot 如何与 Spring Security 协同工作以实现这一点可能会有所帮助。查看Boot 的安全自动配置，它执行以下操作（为便于说明而简化）

Spring Boot 安全自动配置
@EnableWebSecurity (1)
@Configuration
public class DefaultSecurityConfig {
    @Bean
    @ConditionalOnMissingBean(UserDetailsService.class)
    InMemoryUserDetailsManager inMemoryUserDetailsManager() { (2)
        String generatedPassword = // ...;
        return new InMemoryUserDetailsManager(User.withUsername("user")
                .password(generatedPassword).roles("USER").build());
    }

    @Bean
    @ConditionalOnMissingBean(AuthenticationEventPublisher.class)
    DefaultAuthenticationEventPublisher defaultAuthenticationEventPublisher(ApplicationEventPublisher delegate) { (3)
        return new DefaultAuthenticationEventPublisher(delegate);
    }
}

  1. 添加 @EnableWebSecurity 注解。（除此之外，这会将Spring Security 的默认 Filter 链作为 @Bean 发布）

  2. 发布一个 UserDetailsService @Bean，其用户名为 user，并生成一个随机密码，该密码将记录到控制台

  3. 发布一个用于发布身份验证事件的AuthenticationEventPublisher @Bean

Spring Boot 将任何作为 @Bean 发布的 Filter 添加到应用程序的过滤器链中。这意味着将 @EnableWebSecurity 与 Spring Boot 结合使用会自动为每个请求注册 Spring Security 的过滤器链。

安全用例

从这里开始，您可能想去很多地方。要弄清楚您和您的应用程序下一步是什么，请考虑 Spring Security 旨在解决的这些常见用例

如果这些都不符合您的需求，请按以下顺序考虑您的应用程序

  1. 协议：首先，考虑您的应用程序将用于通信的协议。对于基于 Servlet 的应用程序，Spring Security 支持 HTTP 和Websockets。

  2. 身份验证：接下来，考虑用户将如何进行身份验证，以及该身份验证是无状态还是有状态

  3. 授权：然后，考虑您将如何确定用户被授权执行什么操作

  4. 防御：最后，与 Spring Security 的默认保护集成，并考虑您需要哪些额外的保护

© . This site is unofficial and not affiliated with VMware.