认证授权【Spring Security】

猫猫不是喵喵.2026-07-27 11:16

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。由于它是Spring生态系统中的一员，因此它伴随着整个Spring生态系统不断修正、升级，在spring boot项目中加入spring security更是十分简单，使用Spring Security减少了为企业系统安全控制编写大量重复代码的工作。

快速使用

  1. 引入security依赖

    org.springframework.boot spring-boot-starter-security org.springframework.boot spring-boot-starter-web provided

启动项目，控制台自动输出密码。每次项目启动，密码都会重新生成。

在浏览器输入本地ip+端口，会跳出一个security默认登录页面，这就是 spring Security生效了。默认用户名为user。

成功后的页面如下所示

基本原理

SpringSecurity 本质上是一个过滤器链，有很多个过滤器。

FilterSecurityInterceptor : 是一个方法级的权限过滤器，基本位于过滤链的最底部

ExceptionTranslationFilter :是个异常过滤器，用来处理在认证授权过程中抛出的异常

UsernamePasswordAuthenticationFilter :对 /login的POST请求做拦截, 校验表单中用户名,密码

用户认证流程如下图所示

客户端进行登录请求，Spring Security 的 UsernamePasswordAuthenticationFilter过滤器将请求封装到 Authentication，在UserDetailsService类调用loadUserByUsername方法返回一个UserDetails，这个UserDetails封装了用户名及加密后的密码等信息，获取UserDetails中的密码与Authentication中的密码通过PasswordEncoder进行加密匹配。

认证核心组件

系统中会有许多用户，确认当前是哪个用户正在使用我们系统就是登录认证的最终目的。整个系统安全都是围绕当前登录用户展开的，这个不难理解，要是当前登录用户都不能确认了，那A下了一个订单，下到了B的账户上这不就乱套了。这一概念在Spring Security中的体现就是 Authentication，它存储了认证信息，代表当前登录用户。

我们在程序中如何获取并使用它呢？我们需要通过 SecurityContext 来获取Authentication，SecurityContext就是我们的上下文对象！这个上下文对象则是交由 SecurityContextHolder 进行管理，可以在程序任何地方使用它：

复制代码 
Authentication authentication = SecurityContextHolder.getContext().getAuthentication();

SecurityContextHolder原理非常简单，就是使用ThreadLocal来保证一个线程中传递同一个对象！

Spring Security中三个核心组件：

​ 1、Authentication：存储了认证信息，代表当前登录用户

​ 2、SeucirtyContext：上下文对象，用来获取Authentication

​ 3、SecurityContextHolder：上下文管理对象，用来在程序任何地方获取SecurityContext

Authentication包含的信息

​ 1、Principal：用户信息，没有认证时一般是用户名，认证后一般是用户对象

​ 2、Credentials：用户凭证，一般是密码

​ 3、Authorities：用户权限

Spring Security 用户认证核心代码如下：

复制代码 
// 生成一个包含账号密码的认证信息
Authentication authenticationToken = new UsernamePasswordAuthenticationToken(username, passwrod);
// AuthenticationManager校验这个认证信息，返回一个已认证的Authentication
Authentication authentication = authenticationManager.authenticate(authenticationToken);
// 将返回的Authentication存到上下文中
SecurityContextHolder.getContext().setAuthentication(authentication);

可以看到上面的核心代码，AuthenticationManager 就是Spring Security用于执行身份验证的组件，只需要调用它的authenticate方法即可完成认证。Spring Security默认的认证方式就是在UsernamePasswordAuthenticationFilter这个过滤器中进行认证的，该过滤器负责认证逻辑。

AuthenticationManager校验

先根据用户名查出用户信息，将查询到的用户密码和当前验证的密码加密后对比，比对不成功则爆出异常提示。

AuthenticationManager校验逻辑源码如下

复制代码 
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
...省略其他代码
 
    // 传递过来的用户名
    String username = authentication.getName();
    // 调用UserDetailsService的方法，通过用户名查询出用户对象UserDetail（查询不出来UserDetailService则会抛出异常）
    UserDetails userDetails = this.getUserDetailsService().loadUserByUsername(username);
 
    // 获取传递过来的密码
    String password = authentication.getCredentials().toString();
    // 使用密码解析器PasswordEncoder传递过来的密码是否和真实的用户密码匹配
    if (!passwordEncoder.matches(password, userDetails.getPassword())) {
        // 密码错误则抛出异常
        throw new BadCredentialsException("错误信息...");
    }
 
    // 注意：这里返回的已认证Authentication，是将整个UserDetails放进去充当Principal
    UsernamePasswordAuthenticationToken result = new UsernamePasswordAuthenticationToken(userDetails,
            authentication.getCredentials(), userDetails.getAuthorities());
    return result;
 
...省略其他代码
}

问题1：谁来执行查询用户信息的操作呢？

正常业务都是将用户信息存储在数据库中。这个业务操作就在UserDetailsService中进行，UserDetailsService实现了 loadUserByUsername（String username） 方法。

问题2：userDetails 对象有什么属性

这里面包含了用户名和密码及其他常用字段，但在实际开发中业务不一样，实体属性也不一样。所以我们会重新实现该接口。但是这样需要重写很多方法。因此，我们可以继承 Security提供的 User类（org.springframework.security.core.userdetails.User）。

复制代码 
public interface UserDetails extends Serializable {
	/**
     * 用户权限集合（这个权限对象现在不管它，到权限时我会讲解）
     */
    Collection<? extends GrantedAuthority> getAuthorities();
    /**
     * 用户密码
     */
    String getPassword();
    /**
     * 用户名
     */
    String getUsername();
    /**
     * 用户没过期返回true，反之则false
     */
    boolean isAccountNonExpired();
    /**
     * 用户没锁定返回true，反之则false
     */
    boolean isAccountNonLocked();
    /**
     * 用户凭据(通常为密码)没过期返回true，反之则false
     */
    boolean isCredentialsNonExpired();
    /**
     * 用户是启用状态返回true，反之则false
     */
    boolean isEnabled();
}

即操作如下：

自定义一个User类，然后通过继承Security的User类

复制代码 
import com.atguigu.model.system.SysUser;
import lombok.Data;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.userdetails.User;
 
import java.util.Collection;
 
public class CustomUser extends User {
 
    /**
     * 我们自己的用户实体对象，要调取用户信息时直接获取这个实体对象
     */
    private SysUser sysUser;
 
    public CustomUser(SysUser sysUser, Collection<? extends GrantedAuthority> authorities) {
        super(sysUser.getUsername(), sysUser.getPassword(), authorities);
        this.sysUser = sysUser;
    }
 
    public SysUser getSysUser() {
        return sysUser;
    }
 
    public void setSysUser(SysUser sysUser) {
        this.sysUser = sysUser;
    }
    
}

实操

用户认证

设置登录的用户名和密码

方式一：配置文件设置

在上面我们通过security默认的用户名和密码登录了。现在我们想要自定用用户名和密码如何操作呢？在SpringBoot项目中，可以在 .properties 配置文件中指定用户名和密码。再次启动项目发现控制台不再输出密码了。

复制代码 
spring.security.user.name=admin
spring.security.user.password=123

方式二：配置类设置

自定义一个配置类，配置类内容如下，之后重新测试

复制代码 
@Configuration
public class SecurityConf extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 密码加密
        BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
        String password = passwordEncoder.encode("123");
        auth.inMemoryAuthentication().withUser("lucy").password(password).roles("admin");
    }

    @Bean
    PasswordEncoder password() {
        return new BCryptPasswordEncoder();
    }
}

方式三：自定义设置

1. 创建配置类，设置使用哪个userDetailsService实现类

复制代码 
@Configuration
public class SecurityConf2 extends WebSecurityConfigurerAdapter {
    
    @Autowired
    private UserDetailsService userDetailsService;
    
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(password());
    }

    @Bean
    PasswordEncoder password() {
        return new BCryptPasswordEncoder();
    }
}

2. 编写实现类，返回User对象，User对象有用户名密码和操作权限

复制代码 
@Service("userDetailsService")  // 将配置类中注入的UserDetailsService设定的名称在此引入
public class MyUserDetailService implements UserDetailsService {

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("role");
        return new User("lisi", new BCryptPasswordEncoder().encode("123"), auths);
    }
}

上面的方式将用户名和密码固定死了，真实的业务场景肯定是从数据库中查询用户信息的，那么接下来将使用自定义的方式改造代码，从数据库中获取用户信息。

改进版本

1. 自定义加密方法

新建一个CustomMd5PasswordEncoder类，实现 Security的 PasswordEncoder，重写encode方法， 这里采用MD5进行加密。

复制代码 
import com.atguigu.common.util.MD5;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Component;
 
/**
 * 密码处理
 *
 */
@Component
public class CustomMd5PasswordEncoder implements PasswordEncoder {
 
    public String encode(CharSequence rawPassword) {
        return MD5.encrypt(rawPassword.toString());
    }
 
    public boolean matches(CharSequence rawPassword, String encodedPassword) {
        return encodedPassword.equals(MD5.encrypt(rawPassword.toString()));
    }
}

自定义了 CustomMd5PasswordEncoder，现在需要告诉 Spring Security "用我的加密规则，别用默认的" 。使用的地方在 SecurityConfig 配置类中。

复制代码 
@Configuration
public class SecurityConf2 extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(password());
    }

    @Bean
    PasswordEncoder password() {
        // 原来：return new BCryptPasswordEncoder();
        // 现在：换成自定义的
        return new CustomMd5PasswordEncoder();  // 使用你自定义的 MD5 加密
    }
}

2. 添加CustomUser对象

复制代码 
import com.atguigu.model.system.SysUser;
import lombok.Data;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.userdetails.User;
 
import java.util.Collection;
 
public class CustomUser extends User {
 
    /**
     * 我们自己的用户实体对象，要调取用户信息时直接获取这个实体对象
     */
    private SysUser sysUser;
 
    public CustomUser(SysUser sysUser, Collection<? extends GrantedAuthority> authorities) {
        super(sysUser.getUsername(), sysUser.getPassword(), authorities);
        this.sysUser = sysUser;
    }
 
    public SysUser getSysUser() {
        return sysUser;
    }
 
    public void setSysUser(SysUser sysUser) {
        this.sysUser = sysUser;
    }
    
}

CustomUser在 UserDetailsService 的实现类中被创建并返回。

3. 实现 UserDetailsService 接口

复制代码 
@Service("userDetailsService")
public class MyUserDetailService implements UserDetailsService {

    @Autowired
    private UserMapper userMapper;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 根据用户名查询数据库
        User sysUser= userMapper.selectByUsername(username);
        if (sysUser== null) {
            return null;  // 如果查不到用户，返回null,由provider来抛异常
           // throw new UsernameNotFoundException("用户名不存在");
        }
       
         // 2. 查询用户的权限列表
        //List<String> permissions = userMapper.selectPermissionsByUserId(sysUser.getId());
        
        // 3. 将权限转换为 GrantedAuthority 集合
        // List<GrantedAuthority> authorities = permissions.stream()
        //    .map(SimpleGrantedAuthority::new)
        //    .collect(Collectors.toList());
        
        // 4. 关键：在这里使用 CustomUser！
        return new CustomUser(sysUser, Collections.emptyList());  // 这里先返回一个空的权限
        //return new CustomUser(sysUser, authorities); //第二个参数就是权限相关的
    }
}

AuthenticationManager 校验所调用的三个组件就已经做好实现了。此时我们可以在默认的登录页面查看效果。

用户授权

基于权限控制

方法1：使用 hasAuthority方法

如果当前的主体具有指定的权限，则返回true，否则返回 false。

源码如下所示：

  1. 在配置类设置当前访问地址有哪些权限
  1. 在UserDetailsService实现的接口中，把返回User对象设置权限

方法2：使用 hasAnyAuthority方法

可以添加多个角色，源码如下

基于角色控制

方法1：使用 hasRole方法

security会自动在角色上添加ROLE_前缀，如写的是 sass, 则最后返回的是 ROLE_sass。源码如下所示：

所以在UserDetailsService实现的接口中，需要添加ROLE_前缀

方法2：使用 hasAnyRole方法

表示拥有其中一个角色就可以访问，用英文逗号隔开

总结角色与权限的区别

权限是具体控制某个操作的，如普通用户不能有查看和删除其他用户的权限。而角色是一个身份标识，在于这个身份有没有某个操作权限，如管理员可以有增删查改用户的权限，普通用户没有增删查改用户的权限。注意：

权限（Authority）- 细粒度，具体操作

hasAuthority("USER_DELETE") // 有删除用户权限？

hasAnyAuthority("USER_DELETE", "ADMIN_DELETE") // 有任一删除权限？

角色（Role）- 粗粒度，身份标识

hasRole("ADMIN") // 是管理员角色？

hasAnyRole("ADMIN", "MANAGER") // 是管理员或经理？

相关推荐
小罗水1 小时前
第1章 大模型、企业知识库与 RAG 平台概述
java·spring
不知疲倦的仄仄1 小时前
MySQL/Read View快照/MVCC/串行化
java·数据库·mysql
奶糖 肥晨1 小时前
mac系统中Java项目环境配置与问题解决全记录｜环境准备篇：JDK与Maven安装配置
java·macos·maven
SimonKing2 小时前
OpenCode 桌面版这 10 天偷偷迭代了 5 个版本，你还在用旧版吗？
java·后端·程序员
Dontla2 小时前
冒烟测试介绍（Smoke Test、BVT构建验证测试、构建验收测试）与回归测试对比、与单元测试对比、与集成测试对比、Cypress
java·单元测试·集成测试
暖和_白开水2 小时前
数据分析agent(十)：loguru日志输出优化 和es 启动流程
java·elasticsearch·数据分析
减瓦2 小时前
Gradle 版本演进全景：构建工具的进化密码
java·gradle
玛丽莲茼蒿2 小时前
很难出错的Spring5（十）—— IOC进阶
java·开发语言·jvm
减瓦3 小时前
Jackson 使用指南
java·spring boot·json
热门推荐
01GitHub 镜像站点02如何新建文件夹？ 电脑新建文件夹的4种方法032026年7月AI圈大地震：GPT-5.6被政府限制、Claude入驻Slack、Anthropic自研芯片04AI科技热点日报 | 2026年07月01日05国内可直接用、免费额度/永久免费的大模型API清单（含 SiliconFlow、火山、阿里、智谱、百度、Kimi、DeepSeek、DMXAPI 等）06AI 编程 IDE 全景解析 2026：Agent 全面接管开发链路072026 国产 AI 大模型横评：DeepSeek、通义千问、Kimi、文心一言、星火、豆包谁更能打？08幻兽帕鲁 - 服务器管理员权限与 GM 命令完全指南092026 年 AI 大模型 & AI 编程工具实战全总结10微信历史版本含下载地址（ Windows PC | 安卓 | MAC ）及设置微信不更新