SpringSecurity 入门篇到底在说什么？

你Zui近接触过Spring Boot吗？Ru果还没碰到Spring Security，那这篇绝对值得你kan一眼。

先给你抛个小接口：

import org.springframework.security.core.userdetails.UserDetailsService;
public interface LoginUserService extends UserDetailsService {}

那啥子呢？这就是让你去实现一个获取用户信息的方法啦。

认证就是确认“我是谁”，授权就是确认“我Neng干嘛”。这两步往往搞混，导致安全漏洞。

Ru果把Web请求比作进地铁，你先得刷身份证，然后再决定Neng坐哪节车厢。咱们的框架正是这么Zuo的。

Securiy基于Servlet Filter来拦截请求。每个Filter就像一道安检闸，你Ke以自定义加上自己的逻辑。

默认情况下它会自动把所有请求dou送进自己的安全链，除非你自己写了排除规则。

UserDetails 就是一张用户信息卡片——用户名、密码、权限列表，还有账号是否锁定等属性。

UserDetailsService 是负责从数据库或其他存储拿到这张卡片的接口。只要你实现了 loadUserByUsername 方法，框架就Neng凭此完成后续验证。

@Override
public UserDetails loadUserByUsername throws UsernameNotFoundException {
    // 在这里从数据库里查找用户
}

Securiy5起默认用了 DelegatingPasswordEncoder，它要求密码前面必须有一个前缀标识加密方式，如 {noop} 或 {bcrypt}。

"{noop}" 意思是不加密直接明文比较；"{bcrypt}" 则使用BCrypt哈希算法。一般我们建议用 BCrypt，安全性高多了。

@Configuration
public class SecurityConfig {
    @Bean
    public PasswordEncoder passwordEncoder {
        return new BCryptPasswordEncoder;
    }
}

Bcrypt Neng自带盐值，还Neng通过成本参数控制运算强度，让暴力破解变得吃力得多。

引入 spring‑boot‑starter‑security 后Ru果你没写任何登录逻辑，Boot 会自动生成一个简单页面：用户名默认为 user，密码会打印在控制台上一次性给出来然后马上失效。这样方便开发调试，但生产环境肯定不Neng这么用呀！哈哈。

你有没有想过为什么百度不收录这个教程？说实话，可Neng是因为内容太专业，没有足够的外链或是没有被搜索引擎抓取到。也有可Neng是站点机器人没走进来。简而言之，就是“抓取不到”和“排名规则”。Ru果想让geng多人kan到，可考虑添加友好的 meta 描述、适当使用 H1 标题，以及向站长提交站点地图，让爬虫geng容易发现页面哟！

User实体类：

class LoginUser {
    Integer id;
    String loginAct;
    String loginPwd;
    String name;
    Integer accountNonExpired;
    Integer credentialsNonExpired;
    Integer accountNonLocked;
    Integer enabled;
}

Mysql 简单映射：

SELECT id,
       login_act,
       login_pwd,
       name,
       account_no_expired,
       credentials_no_expired,
       account_no_locked,
       account_enabled
FROM user WHERE login_act = #{username};

UserDetails 实现：

@Override
public UserDetails loadUserByUsername
        throws UsernameNotFoundException {
     LoginUser u = mapper.get;
     if{ throw new UsernameNotFoundException; }
     return org.springframework.security.core.userdetails.User.builder
            .username
            .password
            .authorities)
            .build;
}

@RestController 示例：

@RestController
class DemoCtrl{
   @GetMapping
   public String hello{return "Hello SpringSecurity";}
}

/login 登录成功后跳转示例：

- 用浏览器访问 /hello 时会自动弹跳至 /login 页面。 - 输入刚才注册的用户名和密码即可kan到 Hello 成功返回。 无须手工配置，只需把 UserDetailsService 注入即可唤醒安全机制。哈哈！ 故此即使Zui初只有Zui基础依赖，也Neng跑通完整身份验证流程。 不对不对，我刚才忘了说明，要把 BCryptPasswordEncoder 注入容器，否则会报找不到密码编码器异常。 好了这里先停一下——下次再聊细节呀！ 谢谢大家一起读完～ 愿你的项目永远安全无忧～ 😄