怎样进行添加Spring-Security支持

发布时间：2021-12-02 16:45:37 作者：柒染
来源：亿速云阅读：360

怎样进行添加Spring Security支持

Spring Security 是一个功能强大且高度可定制的身份验证和访问控制框架。它是保护基于 Spring 的应用程序的事实标准。本文将详细介绍如何在 Spring 项目中添加 Spring Security 支持，包括基本配置、用户认证、授权管理以及常见的安全防护措施。

1. 引入 Spring Security 依赖

首先，我们需要在项目中引入 Spring Security 的依赖。如果你使用的是 Maven 构建工具，可以在 pom.xml 文件中添加以下依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

如果你使用的是 Gradle，可以在 build.gradle 文件中添加以下依赖：

implementation 'org.springframework.boot:spring-boot-starter-security'

2. 配置 Spring Security

Spring Security 的配置通常通过继承 WebSecurityConfigurerAdapter 类来实现。我们可以创建一个配置类来定义安全规则。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll() // 允许所有人访问首页
                .anyRequest().authenticated() // 其他请求需要认证
                .and()
            .formLogin()
                .loginPage("/login") // 自定义登录页面
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Bean
    @Override
    public UserDetailsService userDetailsService() {
        UserDetails user =
             User.withDefaultPasswordEncoder()
                .username("user")
                .password("password")
                .roles("USER")
                .build();

        return new InMemoryUserDetailsManager(user);
    }
}

2.1 解释配置

@EnableWebSecurity：启用 Spring Security 的 Web 安全支持。
configure(HttpSecurity http)：配置 HTTP 请求的安全性。在这个方法中，我们可以定义哪些 URL 需要认证，哪些不需要。
userDetailsService()：配置用户认证服务。在这个例子中，我们使用了内存中的用户存储，实际项目中通常会使用数据库或其他持久化存储。

3. 用户认证

Spring Security 支持多种用户认证方式，包括内存认证、JDBC 认证、LDAP 认证等。下面我们介绍几种常见的认证方式。

3.1 内存认证

内存认证是最简单的认证方式，适用于开发和测试环境。我们已经在 SecurityConfig 类中使用了内存认证。

@Bean
@Override
public UserDetailsService userDetailsService() {
    UserDetails user =
         User.withDefaultPasswordEncoder()
            .username("user")
            .password("password")
            .roles("USER")
            .build();

    return new InMemoryUserDetailsManager(user);
}

3.2 JDBC 认证

JDBC 认证允许我们从数据库中加载用户信息。首先，我们需要在 application.properties 或 application.yml 中配置数据库连接。

spring.datasource.url=jdbc:mysql://localhost:3306/mydb
spring.datasource.username=root
spring.datasource.password=secret
spring.datasource.driver-class-name=com.mysql.cj.jdbc.Driver

然后，我们可以配置 JdbcUserDetailsManager 来使用数据库中的用户信息。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.JdbcUserDetailsManager;
import org.springframework.security.provisioning.UserDetailsManager;

import javax.sql.DataSource;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    @Bean
    public UserDetailsManager userDetailsManager() {
        JdbcUserDetailsManager manager = new JdbcUserDetailsManager();
        manager.setDataSource(dataSource);
        return manager;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
}

3.3 自定义认证

如果我们需要更复杂的认证逻辑，可以实现 UserDetailsService 接口来自定义认证逻辑。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found");
        }
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                user.getAuthorities());
    }
}

然后在 SecurityConfig 中配置使用自定义的 UserDetailsService。

@Autowired
private CustomUserDetailsService userDetailsService;

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService);
}

4. 授权管理

Spring Security 提供了丰富的授权管理功能，可以根据角色、权限等条件来控制用户对资源的访问。

4.1 基于角色的访问控制

我们可以通过 hasRole 或 hasAnyRole 方法来控制用户对资源的访问。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN") // 只有 ADMIN 角色可以访问 /admin/**
            .antMatchers("/user/**").hasAnyRole("USER", "ADMIN") // USER 和 ADMIN 角色可以访问 /user/**
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}

4.2 基于权限的访问控制

除了基于角色的访问控制，Spring Security 还支持基于权限的访问控制。我们可以使用 hasAuthority 或 hasAnyAuthority 方法来控制用户对资源的访问。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin/**").hasAuthority("ROLE_ADMIN") // 只有拥有 ROLE_ADMIN 权限的用户可以访问 /admin/**
            .antMatchers("/user/**").hasAnyAuthority("ROLE_USER", "ROLE_ADMIN") // 拥有 ROLE_USER 或 ROLE_ADMIN 权限的用户可以访问 /user/**
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}

5. 常见的安全防护措施

Spring Security 提供了多种安全防护措施，包括 CSRF 防护、会话管理、HTTP 安全头配置等。

5.1 CSRF 防护

CSRF（Cross-Site Request Forgery）是一种常见的 Web 攻击方式。Spring Security 默认启用了 CSRF 防护。如果你需要禁用 CSRF 防护，可以在配置中进行如下设置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf().disable() // 禁用 CSRF 防护
        .authorizeRequests()
            .antMatchers("/", "/home").permitAll()
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}

5.2 会话管理

Spring Security 提供了会话管理功能，可以控制用户的会话行为。例如，我们可以配置会话的最大并发数、会话过期时间等。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .sessionManagement()
            .maximumSessions(1) // 每个用户最多只能有一个会话
            .expiredUrl("/login?expired") // 会话过期后重定向到登录页面
            .and()
        .authorizeRequests()
            .antMatchers("/", "/home").permitAll()
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}

5.3 HTTP 安全头配置

Spring Security 默认启用了多种 HTTP 安全头，如 X-Content-Type-Options、X-Frame-Options、X-XSS-Protection 等。我们可以通过配置来启用或禁用这些安全头。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .headers()
            .contentSecurityPolicy("default-src 'self'") // 配置内容安全策略
            .and()
        .authorizeRequests()
            .antMatchers("/", "/home").permitAll()
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}

6. 总结

通过本文的介绍，我们了解了如何在 Spring 项目中添加 Spring Security 支持。我们从引入依赖开始，逐步介绍了 Spring Security 的基本配置、用户认证、授权管理以及常见的安全防护措施。Spring Security 是一个功能强大且高度可定制的框架，能够满足大多数 Web 应用程序的安全需求。希望本文能够帮助你更好地理解和使用 Spring Security。