Spring Security 最佳实践：2026 实战指南

Java水解2026-04-07 13:40

Spring Security 最佳实践：2026 实战指南

我是 Alex，一个在 CSDN 写 Java 架构思考的暖男。看到新手博主写技术踩坑记录总会留言："这个 debug 思路很 solid，下次试试加个 circuit breaker 会更优雅。"我的文章里从不说空话，每个架构图都经过生产环境验证。对了，别叫我大神，喊我 Alex 就好。

一、Spring Security ** 核心概念

Spring Security 是 Spring 生态系统中提供安全认证和授权的框架，它为应用提供了全面的安全保障。

1.1 认证与授权

  • 认证（Authentication） ：确认用户身份的过程
  • 授权（Authorization） ：决定用户可以访问哪些资源的过程
  • ** principal**：代表当前用户的对象
  • ** authorities**：用户拥有的权限

1.2 安全过滤器链

Spring Security 通过一系列过滤器组成的过滤器链来处理安全请求：

  • UsernamePasswordAuthenticationFilter：处理用户名密码认证
  • BasicAuthenticationFilter：处理基本认证
  • OAuth2AuthenticationProcessingFilter：处理 OAuth2 认证
  • FilterSecurityInterceptor：处理授权

二、Spring Security 配置

2.1 基本配置

scala 复制代码 
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
            .antMatchers("/api/public/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .httpBasic();
    }
    
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
            .withUser("user").password("{noop}password").roles("USER")
            .and()
            .withUser("admin").password("{noop}admin").roles("ADMIN");
    }
}

AI写代码java
运行
12345678910111213141516171819202122232425

2.2 密码加密

java 复制代码 
@Configuration
public class SecurityConfig {
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
    
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .userDetailsService(userDetailsService())
            .passwordEncoder(passwordEncoder());
    }
}

AI写代码java
运行
1234567891011121314

2.3 自定义用户详情服务

scss 复制代码 
@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;
    
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
        
        return org.springframework.security.core.userdetails.User.builder()
            .username(user.getUsername())
            .password(user.getPassword())
            .roles(user.getRoles().toArray(new String[0]))
            .build();
    }
}

AI写代码java
运行
1234567891011121314151617

三、OAuth2 与 OpenID Connect

3.1 OAuth2 授权码模式

less 复制代码 
@Configuration
public class OAuth2Config {
    @Bean
    public ClientRegistrationRepository clientRegistrationRepository() {
        return new InMemoryClientRegistrationRepository(
            ClientRegistration.withRegistrationId("github")
                .clientId("client-id")
                .clientSecret("client-secret")
                .redirectUri("{baseUrl}/login/oauth2/code/{registrationId}")
                .authorizationUri("https://github.com/login/oauth/authorize")
                .tokenUri("https://github.com/login/oauth/access_token")
                .userInfoUri("https://api.github.com/user")
                .userNameAttributeName(IdTokenClaimNames.SUB)
                .clientName("GitHub")
                .build()
        );
    }
}

AI写代码java
运行
123456789101112131415161718

3.2 OpenID Connect 配置

yaml 复制代码 
spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: your-client-id
            client-secret: your-client-secret
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
            scope:
              - email
              - profile

AI写代码yaml
123456789101112

四、JWT 认证

4.1 JWT 配置

java 复制代码 
@Configuration
public class JwtConfig {
    @Bean
    public JwtEncoder jwtEncoder() {
        SecretKey key = Keys.secretKeyFor(SignatureAlgorithm.HS256);
        return new NimbusJwtEncoder(new ImmutableSecret<>(key.getEncoded()));
    }
    
    @Bean
    public JwtDecoder jwtDecoder() {
        SecretKey key = Keys.secretKeyFor(SignatureAlgorithm.HS256);
        return NimbusJwtDecoder.withSecretKey(key).build();
    }
}

AI写代码java
运行
1234567891011121314

4.2 JWT 令牌生成与验证

scss 复制代码 
@Service
public class JwtService {
    @Autowired
    private JwtEncoder encoder;
    
    @Autowired
    private JwtDecoder decoder;
    
    public String generateToken(UserDetails userDetails) {
        Map<String, Object> claims = new HashMap<>();
        claims.put("roles", userDetails.getAuthorities().stream()
            .map(GrantedAuthority::getAuthority)
            .collect(Collectors.toList()));
        
        JwtClaimsSet claimsSet = JwtClaimsSet.builder()
            .subject(userDetails.getUsername())
            .issuedAt(Instant.now())
            .expiresAt(Instant.now().plus(Duration.ofHours(24)))
            .claims(claims)
            .build();
        
        return encoder.encode(JwtEncoderParameters.from(claimsSet)).getTokenValue();
    }
    
    public Jwt decodeToken(String token) {
        return decoder.decode(token);
    }
}

AI写代码java
运行
12345678910111213141516171819202122232425262728

五、安全最佳实践

5.1 输入验证

  • 使用 @Valid 注解：验证请求参数
  • 防止 SQL 注入：使用参数化查询
  • 防止 XSS 攻击：对输入进行编码
  • 防止 CSRF 攻击：使用 CSRF 令牌

5.2 密码管理

  • 使用强密码哈希：如 BCrypt
  • 密码复杂度要求：长度、大小写、特殊字符
  • 密码过期策略：定期要求用户修改密码
  • 账户锁定：多次登录失败后锁定账户

5.3 权限管理

  • 最小权限原则：只授予必要的权限
  • 基于角色的访问控制：使用 @PreAuthorize 注解
  • 基于资源的访问控制：根据资源所有权进行授权
less 复制代码 
@RestController
@RequestMapping("/api/users")
public class UserController {
    @PreAuthorize("hasRole('ADMIN')")
    @GetMapping
    public List<User> getAllUsers() {
        // 只有管理员可以访问
    }
    
    @PreAuthorize("#id == authentication.principal.id or hasRole('ADMIN')")
    @GetMapping("/{id}")
    public User getUserById(@PathVariable Long id) {
        // 用户只能访问自己的信息，管理员可以访问所有
    }
}

AI写代码java
运行
123456789101112131415

六、安全监控与审计

6.1 安全事件监控

  • 登录失败监控：监控异常登录尝试
  • 权限变更监控：监控权限变更事件
  • 敏感操作监控：监控敏感操作

6.2 审计日志

typescript 复制代码 
@Configuration
@EnableJpaAuditing
public class AuditConfig {
    @Bean
    public AuditorAware<String> auditorAware() {
        return () -> Optional.ofNullable(SecurityContextHolder.getContext())
            .map(SecurityContext::getAuthentication)
            .filter(Authentication::isAuthenticated)
            .map(Authentication::getName);
    }
}

@Entity
public class User {
    @Id
    private Long id;
    private String username;
    
    @CreatedBy
    private String createdBy;
    
    @CreatedDate
    private Instant createdDate;
    
    @LastModifiedBy
    private String lastModifiedBy;
    
    @LastModifiedDate
    private Instant lastModifiedDate;
    
    // getters and setters
}

AI写代码java
运行
1234567891011121314151617181920212223242526272829303132

七、生产环境配置

7.1 HTTPS 配置

yaml 复制代码 
server:
  port: 8443
  ssl:
    key-store: classpath:keystore.p12
    key-store-password: password
    key-store-type: PKCS12
    key-alias: tomcat

AI写代码yaml
1234567

7.2 环境变量配置

yaml 复制代码 
spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: ${GOOGLE_CLIENT_ID}
            client-secret: ${GOOGLE_CLIENT_SECRET}

AI写代码yaml
12345678

7.3 安全头部

scss 复制代码 
@Configuration
public class SecurityHeadersConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .headers()
            .contentSecurityPolicy("default-src 'self'")
            .frameOptions().deny()
            .xssProtection().enabled(true)
            .contentTypeOptions().enabled(true);
        
        return http.build();
    }
}

AI写代码java
运行
1234567891011121314

八、常见安全漏洞与解决方案

8.1 SQL 注入

问题 ：用户输入 **直接拼接到 SQL 查询中
解决方案：使用参数化查询或 ORM 框架

8.2 XSS 攻击

问题 ：用户输入包含恶意脚本
解决方案：对输入进行编码，使用 Content-Security-Policy

8.3 CSRF 攻击

问题 ：攻击者诱导用户执行非预期操作
解决方案：使用 CSRF 令牌，验证 Origin/Referer 头

8.4 敏感信息泄露

问题 ：日志或错误信息中包含敏感信息
解决方案：配置日志级别，自定义错误处理

九、安全测试

9.1 单元测试

less 复制代码 
@SpringBootTest
@AutoConfigureMockMvc
public class SecurityTest {
    @Autowired
    private MockMvc mockMvc;
    
    @Test
    public void testPublicEndpoint() throws Exception {
        mockMvc.perform(get("/api/public/hello"))
            .andExpect(status().isOk());
    }
    
    @Test
    public void testProtectedEndpointWithoutAuth() throws Exception {
        mockMvc.perform(get("/api/protected/hello"))
            .andExpect(status().isUnauthorized());
    }
    
    @Test
    public void testProtectedEndpointWithAuth() throws Exception {
        mockMvc.perform(get("/api/protected/hello")
            .with(httpBasic("user", "password")))
            .andExpect(status().isOk());
    }
}

AI写代码java
运行
12345678910111213141516171819202122232425

9.2 安全扫描

  • OWASP ZAP：开源的安全扫描工具
  • SonarQube：代码安全扫描
  • Checkmarx：静态代码分析

十、生产环境案例分析

10.1 案例一：电商平台 **安全实践

某电商平台通过实施 Spring Security 最佳实践，成功防止了多次安全攻击，保护了用户数据安全。主要措施包括：

  • 实施 OAuth2 认证，支持第三方登录
  • 使用 JWT 令牌，实现无状态认证
  • 配置细粒度的权限控制，确保用户只能访问自己的资源
  • 实施安全监控，及时发现和处理安全事件

10.2 案例二：金融系统安全架构 **

某银行通过构建多层安全架构，确保了金融交易的安全性和可靠性。主要措施包括：

  • 实施多因素认证，提高登录安全性
  • 使用 HTTPS 加密传输，保护数据安全
  • 实施严格的权限控制，确保只有授权人员才能访问敏感操作
  • 建立完善的安全审计体系，记录所有操作日志
相关推荐
0xDevNull2 小时前
JDK 25 新特性概览与实战教程
java·开发语言·后端
gelald2 小时前
Spring - 循环依赖
java·后端·spring
JavaGuide2 小时前
万字详解 RAG 基础概念：什么是 RAG？ 为什么需要？工作原理是？
后端·ai编程
希望永不加班2 小时前
SpringBoot 多数据源配置（读写分离基础）
java·spring boot·后端·spring
Java成神之路-3 小时前
Spring AOP 核心进阶：切入点表达式 + 通知类型 + 环绕通知避坑指南（Spring系列8）
java·后端·spring
清汤饺子3 小时前
Cursor + Claude Code 组合使用心得：我为什么不只用一个 AI 编程工具
前端·javascript·后端
无责任此方_修行中3 小时前
Redis 的"三面"人生：开源世界的权力转移
redis·后端·程序员
写Cpp的小黑黑4 小时前
时间同步（无需NTP）：以time.is网站为例
后端
热门推荐
01GitHub 镜像站点02OpenClaw 请求超时 llm request timed out 怎么解决？3 种方案实测，附完整排查流程03Qwen3.5-Omni与Qwen3.6模型全面解析（含测评/案例/使用教程）04AI 编程效率翻倍：Superpowers Skills 上手清单 + 完整指南05VMware Workstation Pro 17 虚拟机完整安装教程（2026最新）06Claude Code 未登录 使用第三方模型07Oh My Codex 快速使用指南08【技术干货】Gemma 4 上手深度指南：本地多模态大模型的新基线09最新更新版本，OpenClaw v2026.4.2 深度解读剖析：Task Flow 重磅回归与安全架构的全面硬化10UV安装并设置国内源