Spring Security + MyBatis-Plus 实现自定义数据库用户认证

一、前言

在 Spring Boot 项目中，Spring Security 默认使用内存用户进行认证，这显然无法满足实际业务需求。本文将详细讲解如何整合 MyBatis-Plus 从数据库加载用户信息，实现自定义用户认证流程，让你彻底理解 Spring Security 认证的底层逻辑。

二、核心认证流程

整个登录认证流程可以分为 6 个核心阶段，清晰展示了「用户请求 → 框架拦截 → 数据库查询 → 密码验证」的完整链路：

1. 用户发起登录请求

用户在前端输入用户名和密码，点击登录，前端将信息封装为 HTTP 请求（如 POST /login）发送到后端。
后端控制器（如 UserController）接收该请求。

2. Spring Security 拦截请求

Spring Security 的核心过滤器 UsernamePasswordAuthenticationFilter 自动拦截登录请求。
从请求中提取用户名和明文密码，封装为 UsernamePasswordAuthenticationToken（待认证凭证）。

3. 加载数据库用户信息

Spring Security 调用自定义实现的 UserDetailsService 接口（即 UserDetailsServiceImpl），执行 loadUserByUsername 方法。
该方法通过 MyBatis-Plus 构建查询条件，从数据库中查询对应用户名的用户记录。

4. 适配为安全框架识别的用户对象

数据库查询返回的 User 是业务实体类，Spring Security 无法直接识别。
通过 UserDetailsImpl 实现类，将 User 包装为 Spring Security 标准的 UserDetails 接口对象，完成「业务对象 → 安全对象」的适配。

5. 密码比对与认证判定

Spring Security 从 UserDetailsImpl 中获取数据库存储的加密密码。
使用配置的密码加密器（如 BCrypt）对用户输入的明文密码加密，并与数据库密码比对。
密码一致则认证成功，否则认证失败。

6. 认证结果处理

成功：将用户信息和权限封装为 Authentication 对象，存入 SecurityContext（安全上下文），后续请求可直接获取用户信息。
失败：抛出对应异常（如用户名不存在、密码错误），返回 401/403 错误码。

三、核心代码详解

1. `UserDetailsServiceImpl`：加载用户的核心实现

java 复制代码

@Service
public class UserDetailsServiceImpl implements UserDetailsService {

    @Autowired
    private UserMapper userMapper; // MyBatis-Plus 数据访问层

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 1. 构建查询条件：WHERE username = ?
        QueryWrapper<User> queryWrapper = new QueryWrapper<>();
        queryWrapper.eq("username", username);

        // 2. 执行数据库查询，获取业务用户对象
        User user = userMapper.selectOne(queryWrapper);

        // 3. 用户不存在时抛出规范异常
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在");
        }

        // 4. 将业务用户适配为 Spring Security 识别的 UserDetails 对象
        return new UserDetailsImpl(user);
    }
}

代码职责：

实现 UserDetailsService 接口，是 Spring Security 加载用户的唯一入口。
借助 MyBatis-Plus 快速构建查询，从数据库获取用户数据。
完成「业务用户 → 安全用户」的适配转换。

2. `UserDetailsImpl`：业务用户与安全框架的适配器