编辑“︁Java Spring Security”︁（章节）

= Java Spring Security =

'''Java Spring Security''' 是一个基于 [[Spring Framework]] 的安全框架，用于为 Java 应用程序提供身份验证（Authentication）和授权（Authorization）功能。它广泛应用于企业级开发，帮助开发者保护应用程序免受未经授权的访问和攻击。

== 核心概念 ==
Spring Security 的核心功能包括：
* '''身份验证（Authentication）'''：验证用户的身份（如用户名和密码）。
* '''授权（Authorization）'''：控制用户访问资源的权限。
* '''防护机制'''：防止常见的攻击，如 CSRF（跨站请求伪造）、会话固定（Session Fixation）等。

=== 主要组件 ===
Spring Security 的关键组件包括：
* '''SecurityContextHolder'''：存储当前安全上下文（Security Context），包含用户认证信息。
* '''AuthenticationManager'''：处理认证请求。
* '''UserDetailsService'''：加载用户数据（如从数据库）。
* '''FilterChain'''：一系列安全过滤器，处理 HTTP 请求。

== 基本配置 ==
以下是一个简单的 Spring Security 配置示例，使用 Java 配置方式：

<syntaxhighlight lang="java">
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll() // 允许公开访问
                .antMatchers("/admin/**").hasRole("ADMIN") // 仅管理员可访问
                .anyRequest().authenticated() // 其他请求需认证
            .and()
            .formLogin() // 启用表单登录
                .loginPage("/login") // 自定义登录页
                .permitAll()
            .and()
            .logout() // 启用注销功能
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication() // 使用内存存储用户
                .withUser("user")
                .password("{noop}password") // {noop} 表示明文密码（仅用于示例）
                .roles("USER")
            .and()
                .withUser("admin")
                .password("{noop}admin")
                .roles("ADMIN");
    }
}
</syntaxhighlight>

=== 代码解释 ===
* <code>@EnableWebSecurity</code> 启用 Spring Security。
* <code>configure(HttpSecurity http)</code> 定义 URL 访问规则：
  * <code>/public/**</code> 允许所有人访问。
  * <code>/admin/**</code> 仅限 <code>ADMIN</code> 角色访问。
  * <code>anyRequest().authenticated()</code> 要求其他请求必须认证。
* <code>configure(AuthenticationManagerBuilder auth)</code> 配置内存中的用户（生产环境应使用数据库）。

== 认证流程 ==
Spring Security 的认证流程如下：
<mermaid>
sequenceDiagram
    participant Client
    participant FilterChain
    participant AuthenticationManager
    participant UserDetailsService

    Client->>FilterChain: 发送请求
    FilterChain->>AuthenticationManager: 传递认证请求
    AuthenticationManager->>UserDetailsService: 加载用户数据
    UserDetailsService-->>AuthenticationManager: 返回 UserDetails
    AuthenticationManager-->>FilterChain: 认证结果
    FilterChain-->>Client: 返回响应（成功/失败）
</mermaid>

== 实际应用案例 ==
假设我们有一个博客系统，需要以下安全功能：
1. 普通用户可以查看和发布文章。
2. 管理员可以删除文章。
3. 登录页面自定义。

=== 配置示例 ===
<syntaxhighlight lang="java">
@Configuration
@EnableWebSecurity
public class BlogSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/posts/**").hasAnyRole("USER", "ADMIN")
                .antMatchers("/admin/delete/**").hasRole("ADMIN")
                .antMatchers("/", "/home").permitAll()
            .and()
            .formLogin()
                .loginPage("/custom-login") // 自定义登录页
                .defaultSuccessUrl("/posts")
            .and()
            .csrf().disable(); // 仅用于示例（生产环境应启用）
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .jdbcAuthentication()
            .dataSource(dataSource)
            .usersByUsernameQuery("SELECT username, password, enabled FROM users WHERE username=?")
            .authoritiesByUsernameQuery("SELECT username, role FROM user_roles WHERE username=?");
    }
}
</syntaxhighlight>

=== 关键点 ===
* 使用 <code>jdbcAuthentication</code> 从数据库加载用户和角色。
* <code>/posts/**</code> 允许 <code>USER</code> 和 <code>ADMIN</code> 访问。
* <code>/admin/delete/**</code> 仅限 <code>ADMIN</code>。

== 高级功能 ==
=== OAuth2 集成 ===
Spring Security 支持 OAuth2，可用于第三方登录（如 Google、GitHub）：
<syntaxhighlight lang="java">
@Configuration
@EnableWebSecurity
public class OAuth2SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/oauth2/**").permitAll()
                .anyRequest().authenticated()
            .and()
            .oauth2Login(); // 启用 OAuth2 登录
    }
}
</syntaxhighlight>

=== 方法级安全 ===
使用注解控制方法访问权限：
<syntaxhighlight lang="java">
@RestController
@RequestMapping("/api")
public class ApiController {

    @GetMapping("/user")
    @PreAuthorize("hasRole('USER')") // 仅 USER 角色可访问
    public String userEndpoint() {
        return "Hello User!";
    }

    @GetMapping("/admin")
    @PreAuthorize("hasRole('ADMIN')") // 仅 ADMIN 角色可访问
    public String adminEndpoint() {
        return "Hello Admin!";
    }
}
</syntaxhighlight>

== 常见问题 ==
=== 密码加密 ===
生产环境应使用密码编码器（如 BCrypt）：
<syntaxhighlight lang="java">
@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}
</syntaxhighlight>

=== CSRF 防护 ===
默认启用 CSRF 防护，表单提交需包含 <code>_csrf</code> 令牌：
<syntaxhighlight lang="html">
<input type="hidden" name="_csrf" th:value="${_csrf.token}"/>
</syntaxhighlight>

== 总结 ==
Spring Security 是一个强大的安全框架，适用于从简单到复杂的安全需求。通过灵活的配置和扩展，开发者可以轻松实现身份验证、授权和防护功能。初学者应从基础配置开始，逐步学习高级特性如 OAuth2 和方法级安全。

[[Category:编程语言]]
[[Category:Java]]
[[Category:Java框架]]