|
此版本仍在开发中，尚未被视为稳定版本。对于最新的稳定版本，请使用 Spring Security 6.3.3！ |
|
此版本仍在开发中，尚未被视为稳定版本。对于最新的稳定版本，请使用 Spring Security 6.3.3！ |
本节介绍了如何将 Spring Security 与 Spring Boot 一起使用的最低设置，然后指导您之后的后续步骤。
|
完整的 starter 应用程序可以在我们的示例存储库中找到。 为方便起见，您可以下载由 Spring Initializr 准备的最小 Spring Boot + Spring Security 应用程序。 |
|
完整的 starter 应用程序可以在我们的示例存储库中找到。 为方便起见，您可以下载由 Spring Initializr 准备的最小 Spring Boot + Spring Security 应用程序。 |
启动 Hello Spring Security Boot
在 Classpath 上使用 Spring Security，您现在可以运行 Spring Boot 应用程序。 以下代码片段显示了一些输出，这些输出表明在您的应用程序中启用了 Spring Security：
-
Maven
-
Gradle
-
Jar
$ ./mvnw spring-boot:run
...
INFO 23689 --- [ restartedMain] .s.s.UserDetailsServiceAutoConfiguration :
Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336
...$ ./gradlew :bootRun
...
INFO 23689 --- [ restartedMain] .s.s.UserDetailsServiceAutoConfiguration :
Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336
...$ java -jar target/myapplication-0.0.1.jar
...
INFO 23689 --- [ restartedMain] .s.s.UserDetailsServiceAutoConfiguration :
Using generated security password: 8e557245-73e2-4286-969a-ff57fe326336
...现在您已经运行了它，您可以尝试点击终端节点以查看会发生什么。 如果您点击的终端节点没有凭证，如下所示：
$ curl -i http://localhost:8080/some/path
HTTP/1.1 401
...然后 Spring Security 使用 .401 Unauthorized
| 如果您在浏览器中提供相同的 URL，它将重定向到默认登录页面。 |
如果您使用凭证（在控制台输出中找到）点击终端节点，如下所示：
$ curl -i -u user:8e557245-73e2-4286-969a-ff57fe326336 http://localhost:8080/some/path
HTTP/1.1 404
...然后 Spring Boot 将为请求提供服务，在这种情况下返回一个 because 不存在。404 Not Found/some/path
在这里，您可以：
| 如果您在浏览器中提供相同的 URL，它将重定向到默认登录页面。 |
运行时预期
Spring Boot 和 Spring Security 的默认安排在运行时提供以下行为：
-
任何终端节点（包括 Boot 的终端节点）都需要经过身份验证的用户
/error -
在启动时使用生成的密码注册默认用户（密码将记录到控制台;在前面的示例中，密码为
8e557245-73e2-4286-969a-ff57fe326336) -
使用 BCrypt 和其他设备保护密码存储
-
验证基于表单的登录以及 HTTP Basic
-
提供内容协商;对于 Web 请求，重定向到登录页面;对于服务请求，返回
401 Unauthorized -
缓解 CSRF 攻击
-
写入 X-Content-Type-Options 以缓解嗅探攻击
-
写入 Cache Control 标头以保护经过身份验证的资源
-
编写 X-Frame-Options 以缓解点击劫持
了解 Spring Boot 如何与 Spring Security 协调以实现这一目标可能会有所帮助。 看一下 Boot 的安全自动配置，它执行以下操作（为说明而简化）：
@EnableWebSecurity (1)
@Configuration
public class DefaultSecurityConfig {
@Bean
@ConditionalOnMissingBean(UserDetailsService.class)
InMemoryUserDetailsManager inMemoryUserDetailsManager() { (2)
String generatedPassword = // ...;
return new InMemoryUserDetailsManager(User.withUsername("user")
.password(generatedPassword).roles("USER").build());
}
@Bean
@ConditionalOnMissingBean(AuthenticationEventPublisher.class)
DefaultAuthenticationEventPublisher defaultAuthenticationEventPublisher(ApplicationEventPublisher delegate) { (3)
return new DefaultAuthenticationEventPublisher(delegate);
}
}-
添加批注。（除其他外，这会将 Spring Security 的默认
Filter链发布为@EnableWebSecurity@Bean) -
发布一个
UserDetailsService，其用户名和随机生成的密码将记录到控制台@Beanuser -
发布
AuthenticationEventPublisher以发布身份验证事件@Bean
Spring Boot 将任何作为 a 发布的 添加到应用程序的过滤器链中。
这意味着与 Spring Boot 结合使用会自动为每个请求注册 Spring Security 的过滤器链。Filter@Bean@EnableWebSecurity |
Spring Boot 将任何作为 a 发布的 添加到应用程序的过滤器链中。
这意味着与 Spring Boot 结合使用会自动为每个请求注册 Spring Security 的过滤器链。Filter@Bean@EnableWebSecurity |
安全用例
您可能想从这里去很多地方。 要弄清楚您和您的应用程序的下一步是什么，请考虑 Spring Security 旨在解决的这些常见用例：
-
我正在构建一个 Web 应用程序、API 网关或 BFF，并且
-
我需要管理
-
LDAP 或 Active Directory、Spring Data 或 JDBC 中的用户
-
如果这些都不符合您要查找的内容，请考虑按以下顺序考虑您的应用程序：
-
协议：首先，考虑应用程序将用于通信的协议。 对于基于 servlet 的应用程序，Spring Security 支持 HTTP 和 Websockets。
-
身份验证：接下来，考虑用户将如何进行身份验证，以及该身份验证是有状态的还是无状态的
-
授权：然后，考虑如何确定用户有权执行哪些操作