对于最新的稳定版本，请使用 Spring Security 6.4.1！spring-doc.cn

Java 配置

在 Spring 3.1 中，Spring Framework 中添加了对 Java 配置的一般支持。从 Spring Security 3.2 开始，就有了 Spring Security Java 配置支持，这使用户无需使用任何 XML 即可轻松配置 Spring Security。spring-doc.cn

如果您熟悉 Security Namespace Configuration，那么您应该会发现它与 Security Java Configuration 支持之间有很多相似之处。spring-doc.cn

Spring Security 提供了许多示例应用程序，这些应用程序演示了 Spring Security Java Configuration 的使用。

Hello Web Security Java 配置

第一步是创建我们的 Spring Security Java 配置。该配置将创建一个称为 the 的 Servlet 过滤器，它负责应用程序中的所有安全性（保护应用程序 URL、验证提交的用户名和密码、重定向到登录表单等）。您可以在下面找到 Spring Security Java 配置的最基本示例：springSecurityFilterChainspring-doc.cn

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.context.annotation.*;
import org.springframework.security.config.annotation.authentication.builders.*;
import org.springframework.security.config.annotation.web.configuration.*;

@EnableWebSecurity
public class WebSecurityConfig {

	@Bean
	public UserDetailsService userDetailsService() {
		InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
		manager.createUser(User.withDefaultPasswordEncoder().username("user").password("password").roles("USER").build());
		return manager;
	}
}

这种配置确实没有太多内容，但它做了很多事情。您可以在下面找到功能摘要：spring-doc.cn

要求对应用程序中的每个 URL 进行身份验证spring-doc.cn
为您生成登录表单spring-doc.cn
允许具有 Username user （用户名）用户和 Password password （密码）的用户使用基于表单的身份验证进行身份验证spring-doc.cn
允许用户注销spring-doc.cn
CSRF 攻击预防spring-doc.cn
Session Fixation 保护spring-doc.cn
安全标头集成spring-doc.cn
- 用于安全请求的 HTTP 严格传输安全性 spring-doc.cn
- X-Content-Type-Options 集成spring-doc.cn
- 缓存控制（稍后可由应用程序覆盖，以允许缓存静态资源）spring-doc.cn
- X-XSS-Protection 集成spring-doc.cn
- X-Frame-Options 集成有助于防止点击劫持 spring-doc.cn
与以下 Servlet API 方法集成spring-doc.cn

AbstractSecurityWebApplicationInitializer

下一步是向 war 注册。这可以在 Java 配置中完成，在 Servlet 3.0+ 环境中使用 Spring 的WebApplicationInitializer支持。毫不奇怪， Spring Security 提供了一个基类，它将确保为您注册。我们使用的方式会有所不同，具体取决于我们是否已经在使用 Spring，或者 Spring Security 是否是我们应用程序中唯一的 Spring 组件。springSecurityFilterChainAbstractSecurityWebApplicationInitializerspringSecurityFilterChainAbstractSecurityWebApplicationInitializerspring-doc.cn

AbstractSecurityWebApplicationInitializer without Existing Spring - 如果您尚未使用 Spring，请使用这些说明spring-doc.cn
AbstractSecurityWebApplicationInitializer 与 Spring MVC - 如果您已经在使用 Spring，请使用这些说明spring-doc.cn

没有现有 Spring 的 AbstractSecurityWebApplicationInitializer

如果你没有使用 Spring 或 Spring MVC，则需要传入到 superclass 中，以确保获取配置。您可以在下面找到一个示例：WebSecurityConfigspring-doc.cn

import org.springframework.security.web.context.*;

public class SecurityWebApplicationInitializer
	extends AbstractSecurityWebApplicationInitializer {

	public SecurityWebApplicationInitializer() {
		super(WebSecurityConfig.class);
	}
}

将执行以下操作：SecurityWebApplicationInitializerspring-doc.cn

为应用程序中的每个 URL 自动注册 springSecurityFilterChain Filterspring-doc.cn
添加加载 WebSecurityConfig 的 ContextLoaderListener。spring-doc.cn

使用 Spring MVC 的 AbstractSecurityWebApplicationInitializer

如果我们在应用程序的其他地方使用 Spring，我们可能已经有一个正在加载我们的 Spring 配置。如果我们使用以前的配置，则会收到错误。相反，我们应该使用现有的 . 例如，如果我们使用的是 Spring MVC，我们将如下所示：WebApplicationInitializerApplicationContextSecurityWebApplicationInitializerspring-doc.cn

import org.springframework.security.web.context.*;

public class SecurityWebApplicationInitializer
	extends AbstractSecurityWebApplicationInitializer {

}

这将仅为应用程序中的每个 URL 注册springSecurityFilterChain Filter。之后，我们将确保它已加载到现有的 ApplicationInitializer 中。例如，如果我们使用的是 Spring MVC，它将添加到WebSecurityConfiggetServletConfigClasses()spring-doc.cn

public class MvcWebApplicationInitializer extends
		AbstractAnnotationConfigDispatcherServletInitializer {

	@Override
	protected Class<?>[] getServletConfigClasses() {
		return new Class[] { WebSecurityConfig.class, WebMvcConfig.class };
	}

	// ... other overrides ...
}

这样做的原因是 Spring Security 需要能够检查一些 Spring MVC 配置，以便适当地配置底层请求匹配器，因此它们需要位于相同的应用程序上下文中。将 Spring Security 放在中，将其放入可能无法找到 Spring MVC 的父应用程序上下文中。getRootConfigClassesHandlerMappingIntrospectorspring-doc.cn

配置多个 Spring MVC 调度器

如果需要，任何与 Spring MVC 无关的 Spring Security 配置都可以放置在不同的配置类中，如下所示：spring-doc.cn

public class MvcWebApplicationInitializer extends
		AbstractAnnotationConfigDispatcherServletInitializer {

	@Override
    protected Class<?>[] getRootConfigClasses() {
		return new Class[] { NonWebSecurityConfig.class };
    }

	@Override
	protected Class<?>[] getServletConfigClasses() {
		return new Class[] { WebSecurityConfig.class, WebMvcConfig.class };
	}

	// ... other overrides ...
}

如果您有多个实例，并且不想在这两个实例之间复制常规安全配置，这可能会很有帮助。AbstractAnnotationConfigDispatcherServletInitializerspring-doc.cn

HttpSecurity 安全

到目前为止，我们的 WebSecurityConfig 仅包含有关如何验证用户的信息。 Spring Security 如何知道我们要要求所有用户都经过身份验证？ Spring Security 如何知道我们想要支持基于表单的身份验证？实际上，在幕后调用了一个名为的 bean。它使用以下默认实现进行配置：SecurityFilterChainspring-doc.cn

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
	http
		.authorizeRequests(authorize -> authorize
			.anyRequest().authenticated()
		)
		.formLogin(withDefaults())
		.httpBasic(withDefaults());
	return http.build();
}

上面的默认配置：spring-doc.cn

确保对我们的应用程序的任何请求都需要对用户进行身份验证spring-doc.cn
允许用户使用基于表单的登录进行身份验证spring-doc.cn
允许用户使用 HTTP 基本身份验证进行身份验证spring-doc.cn

您将注意到，此配置与 XML Namespace 配置非常相似：spring-doc.cn

<http>
	<intercept-url pattern="/**" access="authenticated"/>
	<form-login />
	<http-basic />
</http>

多个 HttpSecurity

我们可以配置多个实例，就像我们可以拥有多个块一样。关键是要注册多个 s。例如，以下是对以 .HttpSecurity<http>SecurityFilterChain@Bean/api/spring-doc.cn

@EnableWebSecurity
public class MultiHttpSecurityConfig {
	@Bean                                                             (1)
	public UserDetailsService userDetailsService() throws Exception {
		// ensure the passwords are encoded properly
		UserBuilder users = User.withDefaultPasswordEncoder();
		InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
		manager.createUser(users.username("user").password("password").roles("USER").build());
		manager.createUser(users.username("admin").password("password").roles("USER","ADMIN").build());
		return manager;
	}

	@Bean
	@Order(1)                                                        (2)
	public SecurityFilterChain apiFilterChain(HttpSecurity http) throws Exception {
		http
			.antMatcher("/api/**")                                   (3)
			.authorizeHttpRequests(authorize -> authorize
				.anyRequest().hasRole("ADMIN")
			)
			.httpBasic(withDefaults());
		return http.build();
	}

	@Bean                                                            (4)
	public SecurityFilterChain formLoginFilterChain(HttpSecurity http) throws Exception {
		http
			.authorizeHttpRequests(authorize -> authorize
				.anyRequest().authenticated()
			)
			.formLogin(withDefaults());
		return http.build();
	}
}

1	正常配置 Authentication
2	注册该 contains 的实例以指定应首先考虑哪个实例。`SecurityFilterChain@OrderSecurityFilterChain`
3	声明这仅适用于以`http.antMatcherHttpSecurity/api/`
4	注册的另一个实例。如果 URL 不以此开头，则将使用此配置。此配置被视为 after，因为它在 after （没有默认值为 last）。`SecurityFilterChain/api/apiFilterChain@Order1@Order`

自定义 DSL

您可以在 Spring Security 中提供自己的自定义 DSL。例如，您可能有如下所示的内容：spring-doc.cn

public class MyCustomDsl extends AbstractHttpConfigurer<MyCustomDsl, HttpSecurity> {
	private boolean flag;

	@Override
	public void init(HttpSecurity http) throws Exception {
		// any method that adds another configurer
		// must be done in the init method
		http.csrf().disable();
	}

	@Override
	public void configure(HttpSecurity http) throws Exception {
		ApplicationContext context = http.getSharedObject(ApplicationContext.class);

		// here we lookup from the ApplicationContext. You can also just create a new instance.
		MyFilter myFilter = context.getBean(MyFilter.class);
		myFilter.setFlag(flag);
		http.addFilterBefore(myFilter, UsernamePasswordAuthenticationFilter.class);
	}

	public MyCustomDsl flag(boolean value) {
		this.flag = value;
		return this;
	}

	public static MyCustomDsl customDsl() {
		return new MyCustomDsl();
	}
}

这实际上是 method like 的实现方式。HttpSecurity.authorizeRequests()

然后，可以像这样使用自定义 DSL：spring-doc.cn

@EnableWebSecurity
public class Config {
	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.apply(customDsl())
				.flag(true)
				.and()
			...;
		return http.build();
	}
}

代码按以下顺序调用：spring-doc.cn

调用 'Config 的 configure 方法中的代码】spring-doc.cn
调用 'MyCustomDsl' init 方法中的代码spring-doc.cn
调用 'MyCustomDsl' configure 方法中的代码spring-doc.cn

如果需要，默认情况下，可以使用 . 例如，您将在 Classpath 上创建一个以以下内容命名的资源：MyCustomDslHttpSecuritySpringFactoriesMETA-INF/spring.factoriesspring-doc.cn

元 INF/spring.factories

org.springframework.security.config.annotation.web.configurers.AbstractHttpConfigurer = sample.MyCustomDsl

希望禁用 default 的用户可以显式执行此操作。spring-doc.cn

@EnableWebSecurity
public class Config {
	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.apply(customDsl()).disable()
			...;
		return http.build();
	}
}

后处理已配置的对象

Spring Security 的 Java 配置不会公开它配置的每个对象的每个属性。这简化了大多数用户的配置。毕竟，如果每个属性都公开了，用户就可以使用标准的 bean 配置。spring-doc.cn

虽然有充分的理由不直接公开每个属性，但用户可能仍需要更高级的配置选项。为了解决这个问题， Spring Security 引入了一个概念，它可用于修改或替换由 Java 配置创建的许多 Object 实例。例如，如果要配置 on 属性，可以使用以下内容：ObjectPostProcessorfilterSecurityPublishAuthorizationSuccessFilterSecurityInterceptorspring-doc.cn

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
	http
		.authorizeRequests(authorize -> authorize
			.anyRequest().authenticated()
			.withObjectPostProcessor(new ObjectPostProcessor<FilterSecurityInterceptor>() {
				public <O extends FilterSecurityInterceptor> O postProcess(
						O fsi) {
					fsi.setPublishAuthorizationSuccess(true);
					return fsi;
				}
			})
		);
	return http.build();
}