SpringSecurity的概念、认证、授权机制剖析

更新时间：2026年01月28日 08:49:13 作者：yangminlei

Spring Security是一个强大且高度可定制的身份验证和访问控制框架,主要用于Java应用程序的安全性,这篇文章给大家介绍SpringSecurity的概念、认证、授权机制剖析,感兴趣的朋友跟随小编一起看看吧

SpringSecurity 核心概念

SpringSecurity 是一个功能强大且高度可定制的身份验证和访问控制框架，专注于为 Java 应用程序提供安全性。其核心功能围绕身份验证（Authentication）和授权（Authorization）展开。

身份验证是确认用户身份的过程，通常通过用户名密码、OAuth2、JWT 等方式实现。授权是确定已验证用户拥有哪些权限，例如访问特定资源或执行某些操作。

认证流程剖析

SpringSecurity 的认证流程主要由一系列过滤器链组成。核心过滤器包括 UsernamePasswordAuthenticationFilter（处理表单登录）、BasicAuthenticationFilter（处理 HTTP Basic 认证）等。认证过程最终由 AuthenticationManager 协调，委托给 ProviderManager 和具体的 AuthenticationProvider 实现。

认证成功后，会生成 Authentication 对象并存入 SecurityContextHolder，供后续授权流程使用。默认使用 ThreadLocal 存储安全上下文，确保线程安全。

授权机制解析

授权通过 AccessDecisionManager 实现，核心策略包括：

基于投票的 AffirmativeBased（一票通过即可）
一致性通过的 UnanimousBased（全部投票通过）
多数通过的 ConsensusBased

权限判断通常使用 hasRole()、hasAuthority() 等表达式，或通过注解如 @PreAuthorize 实现方法级安全控制。配置示例：

http.authorizeRequests()
    .antMatchers("/admin/**").hasRole("ADMIN")
    .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
    .anyRequest().authenticated();

JWT 集成实践

JWT（JSON Web Token）是一种无状态的认证方案，适合分布式系统。集成步骤：

创建 JWT 工具类处理令牌生成/验证：

public class JwtTokenUtil {
    private String secret = "your-secret-key";
    public String generateToken(UserDetails userDetails) {
        return Jwts.builder()
            .setSubject(userDetails.getUsername())
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 3600*1000))
            .signWith(SignatureAlgorithm.HS512, secret)
            .compact();
    }
    public Boolean validateToken(String token, UserDetails userDetails) {
        final String username = extractUsername(token);
        return (username.equals(userDetails.getUsername()) && !isTokenExpired(token));
    }
}

配置 JWT 过滤器：

public class JwtRequestFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                  HttpServletResponse response, 
                                  FilterChain chain) {
        String token = extractToken(request);
        if (token != null && jwtUtil.validateToken(token, userDetails)) {
            UsernamePasswordAuthenticationToken auth = new UsernamePasswordAuthenticationToken(
                userDetails, null, userDetails.getAuthorities());
            SecurityContextHolder.getContext().setAuthentication(auth);
        }
        chain.doFilter(request, response);
    }
}

OAuth2 集成方案

SpringSecurity 提供完整的 OAuth2 支持，包括客户端和资源服务器配置：

资源服务器配置示例：

@EnableResourceServer
@Configuration
public class OAuth2ResourceServerConfig extends ResourceServerConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/api/**").authenticated();
    }
    @Override
    public void configure(ResourceServerSecurityConfigurer resources) {
        resources.tokenServices(tokenServices());
    }
    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }
    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("shared-secret");
        return converter;
    }
}

客户端配置示例：

@EnableOAuth2Client
@Configuration
public class OAuth2ClientConfig {
    @Bean
    public OAuth2RestTemplate oauth2RestTemplate(
            OAuth2ClientContext oauth2ClientContext,
            OAuth2ProtectedResourceDetails details) {
        return new OAuth2RestTemplate(details, oauth2ClientContext);
    }
}

安全配置最佳实践

生产环境建议配置：

启用 CSRF 防护（对于有状态的 web 应用）
配置 CORS 策略
强制 HTTPS
设置严格的内容安全策略
使用安全密码编码器：

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

典型安全配置示例：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().ignoringAntMatchers("/api/**")
            .and()
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .addFilterBefore(jwtFilter(), UsernamePasswordAuthenticationFilter.class)
            .authorizeRequests()
                .antMatchers("/auth/**").permitAll()
                .anyRequest().authenticated();
    }
}

到此这篇关于SpringSecurity的概念、认证、授权机制剖析的文章就介绍到这了,更多相关SpringSecurity授权内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！

您可能感兴趣的文章:

将本地jar包安装进入maven仓库(实现方法)
下面小编就为大家带来一篇将本地jar包安装进入maven仓库(实现方法)。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
2017-06-06
Java并发编程中构建自定义同步工具
这篇文章主要介绍了Java并发编程中构建自定义同步工具,本文讲解了可阻塞状态依赖操作的结构、有界缓存实现基类示例、阻塞实现方式一：抛异常给调用者、阻塞实现方式二：通过轮询和休眠、阻塞实现方式三：条件队列等内容,需要的朋友可以参考下
2015-04-04
如何使用JAVA实现数字水印
本文介绍了如何使用JAVA实现数字水印，主要用到了java.awt包中的AlphaComposite类，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
2015-07-07
SpringCloud Hystrix熔断器使用方法介绍
通过hystrix可以解决雪崩效应问题，它提供了资源隔离、降级机制、融断、缓存等功能。接下来通过本文给大家分享SpringCloud集成Hystrix熔断，感兴趣的朋友一起看看吧
2023-03-03
Java中的Pair详细
这篇文章主要介绍Java中的很有意思的Pair，下面文章会以Pair用法展开，感兴趣的小伙伴可以参考下面文章的具体内容
2021-10-10
Java设计模式之适配器模式
这篇文章介绍了Java设计模式之适配器模式，文中通过示例代码介绍的非常详细。对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
2022-09-09
java跳出循环的三种方式总结(break语句、continue语句和return语句)
在实际编程中,有时需要在条件语句匹配的时候跳出循环,下面这篇文章主要给大家介绍了关于java跳出循环的三种方式,其中包括break语句、continue语句和return语句的相关资料,需要的朋友可以参考下
2023-03-03
Java实现短信发送验证码功能
这篇文章主要介绍了Java实现短信发送验证码功能,本文通过实例代码给大家介绍的非常详细，需要的朋友可以参考下
2018-10-10
Java21之字符串模板的使用小结
本文主要介绍了Java21之字符串模板的使用小结,通过模板表达式和内嵌表达式的设计,使得字符串的构造更加简洁、直观和类型安全,核心优势包括简洁性、灵活的模板处理器、与文本块的完美配合等
2025-10-10
Mybatis学习笔记之动态SQL揭秘
这篇文章主要给大家介绍了关于Mybatis学习笔记之动态SQL的相关资料，小编觉得挺不错的，对大家学习或者使用Mybatis会有一定的帮助，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
2018-11-11