您好 Spring Security
本节介绍了如何将 Spring Security 与 Spring Boot 一起使用的最低设置，然后指导您之后的后续步骤。
|
完整的 starter 应用程序可以在我们的示例存储库中找到。 为方便起见，您可以下载由 Spring Initializr 准备的最小 Spring Boot + Spring Security 应用程序。 |
启动 Hello Spring Security Boot
在 Classpath 上使用 Spring Security，您现在可以运行 Spring Boot 应用程序。 以下代码片段显示了一些输出，这些输出表明在您的应用程序中启用了 Spring Security：
-
Maven
-
Gradle
-
Jar
$ ./mvnw spring-boot:run
...
INFO 23689 --- [ restartedMain] .s.s.UserDetailsServiceAutoConfiguration :
Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336
...$ ./gradlew :bootRun
...
INFO 23689 --- [ restartedMain] .s.s.UserDetailsServiceAutoConfiguration :
Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336
...$ java -jar target/myapplication-0.0.1.jar
...
INFO 23689 --- [ restartedMain] .s.s.UserDetailsServiceAutoConfiguration :
Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336
...现在您已经运行了它，您可以尝试点击终端节点以查看会发生什么。 如果您点击的终端节点没有凭证，如下所示：
$ curl -i http://localhost:8080/some/path
HTTP/1.1 401
...然后 Spring Security 使用401 Unauthorized.
| 如果您在浏览器中提供相同的 URL，它将重定向到默认登录页面。 |
如果您使用凭证（在控制台输出中找到）点击终端节点，如下所示：
$ curl -i -u user:8e557245-73e2-4286-969a-ff57fe326336 http://localhost:8080/some/path
HTTP/1.1 404
...然后 Spring Boot 将为请求提供服务，返回一个404 Not Found在这种情况下，由于/some/path不存在。
在这里，您可以：
运行时预期
Spring Boot 和 Spring Security 的默认安排在运行时提供以下行为：
-
任何终端节点（包括 Boot 的
/errorendpoint） -
在启动时使用生成的密码注册默认用户（密码将记录到控制台;在前面的示例中，密码为
8e557245-73e2-4286-969a-ff57fe326336) -
使用 BCrypt 和其他设备保护密码存储
-
验证基于表单的登录以及 HTTP Basic
-
提供内容协商;对于 Web 请求，重定向到登录页面;对于服务请求，返回
401 Unauthorized -
缓解 CSRF 攻击
-
写入 X-Content-Type-Options 以缓解嗅探攻击
-
写入 Cache Control 标头以保护经过身份验证的资源
-
编写 X-Frame-Options 以缓解点击劫持
了解 Spring Boot 如何与 Spring Security 协调以实现这一目标可能会有所帮助。 看一下 Boot 的安全自动配置，它执行以下作（为说明而简化）：
@EnableWebSecurity (1)
@Configuration
public class DefaultSecurityConfig {
@Bean
@ConditionalOnMissingBean(UserDetailsService.class)
InMemoryUserDetailsManager inMemoryUserDetailsManager() { (2)
String generatedPassword = // ...;
return new InMemoryUserDetailsManager(User.withUsername("user")
.password(generatedPassword).roles("USER").build());
}
@Bean
@ConditionalOnMissingBean(AuthenticationEventPublisher.class)
DefaultAuthenticationEventPublisher defaultAuthenticationEventPublisher(ApplicationEventPublisher delegate) { (3)
return new DefaultAuthenticationEventPublisher(delegate);
}
}-
添加
@EnableWebSecurity注解。（除其他外，这会发布Spring Security 的默认值Filter链作为@Bean) -
发布
UserDetailsService@Bean，用户名为user以及记录到控制台的随机生成的密码 -
发布
AuthenticationEventPublisher@Bean用于发布身份验证事件
Spring Boot 会添加任何Filter发布为@Bean添加到应用程序的过滤器链中。
这意味着使用@EnableWebSecurity与 Spring 结合使用，Boot 会自动为每个请求注册 Spring Security 的过滤器链。 |
安全用例
您可能想从这里去很多地方。 要弄清楚您和您的应用程序的下一步是什么，请考虑 Spring Security 旨在解决的这些常见用例：
-
我正在构建一个 Web 应用程序、API 网关或 BFF，并且
-
我需要管理
-
LDAP 或 Active Directory、Spring Data 或 JDBC 中的用户
-
如果这些都不符合您要查找的内容，请考虑按以下顺序考虑您的应用程序：
-
协议：首先，考虑应用程序将用于通信的协议。 对于基于 servlet 的应用程序，Spring Security 支持 HTTP 和 Websockets。
-
身份验证：接下来，考虑用户将如何进行身份验证，以及该身份验证是有状态的还是无状态的
-
授权：然后，考虑如何确定用户有权执行哪些作