java后端开发怎么用Spring Security实现用户认证和授权？-java教程-PHP中文网

java后端开发怎么用Spring Security实现用户认证和授权？

畫卷琴夢

发布： 2025-11-18 13:21:46

原创

912人浏览过

首先引入Spring Security依赖，然后通过SecurityConfig配置安全策略，接着实现UserDetailsService加载用户信息，并配置BCrypt密码编码器。具体为：添加spring-boot-starter-security依赖后，所有接口默认受保护；在SecurityConfig中定义permitAll允许公开访问路径，hasRole限制ADMIN接口访问，启用formLogin和httpBasic认证方式；CustomUserDetailsService从数据库加载用户并构建UserDetails对象；使用BCryptPasswordEncoder确保密码加密存储。角色需注意默认的ROLE_前缀匹配规则。初期可使用内置登录页验证流程，后续可集成JWT实现无状态认证。

java后端开发怎么用spring security实现用户认证和授权？

Spring Security 是 Java 后端开发中实现用户认证和授权的主流框架，能有效保护 Web 应用的安全。要使用它实现基本的用户登录认证和接口权限控制，核心步骤包括引入依赖、配置安全策略、定义用户详情服务以及设置角色权限。

添加 Spring Security 依赖

在基于 Spring Boot 的项目中，只需在 pom.xml 中加入以下依赖：

<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>

引入后，所有接口默认会被保护，访问时需要登录。

配置 SecurityConfig 类

创建一个配置类继承 WebSecurityConfigurerAdapter（旧版本）或直接使用新式组件方式（Spring Security 5.7+ 推荐），以下是较新的函数式配置示例：

立即学习“Java免费学习笔记（深入）”；

@Configuration
@EnableWebSecurity
public class SecurityConfig {

  @Bean
  public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
      .authorizeHttpRequests(auth -> auth
        .requestMatchers("/api/public/**").permitAll()
        .requestMatchers("/api/admin/**").hasRole("ADMIN")
        .anyRequest().authenticated()
      )
      .formLogin(withDefaults())
      .httpBasic(withDefaults());
    return http.build();
  }
}

说明：

知我AI·PC客户端

离线运行 AI 大模型，构建你的私有个人知识库，对话式提取文件知识，保证个人文件数据安全

查看详情

permitAll()：允许所有人访问公开接口
hasRole("ADMIN")：只有拥有 ADMIN 角色的用户才能访问
formLogin()：启用表单登录页面
httpBasic()：支持 HTTP Basic 认证（适合 API 调试）

自定义用户认证逻辑

通过实现 UserDetailsService 接口加载用户信息：

@Service
public class CustomUserDetailsService implements UserDetailsService {

  @Autowired
  private UserRepository userRepository;

  @Override
  public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    User user = userRepository.findByUsername(username)
      .orElseThrow(() -> new UsernameNotFoundException("用户不存在: " + username));

    return org.springframework.security.core.userdetails.User
      .withUsername(user.getUsername())
      .password(user.getPassword())
      .roles(user.getRoles().toArray(new String[0]))
      .build();
  }
}

确保数据库中的密码是使用 PasswordEncoder 加密存储的。