Spring Boot中的安全配置与实现

Spring Boot中的安全配置与实现

大家好，我是免费搭建查券返利机器人省钱赚佣金就用微赚淘客系统3.0的小编，也是冬天不穿秋裤，天冷也要风度的程序猿！今天我们将深入探讨Spring Boot中的安全配置与实现，看看如何保护你的应用免受潜在的安全威胁。

一、Spring Boot中的安全框架简介

Spring Boot集成了Spring Security，这是一个强大的认证和授权框架，用于保护基于Spring的应用程序。Spring Security提供了许多功能，如基于角色的访问控制、表单登录、HTTP Basic认证、OAuth 2.0支持等。

1. Maven依赖

首先，确保在

pom.xml

文件中添加Spring Security的依赖：

<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId></dependency>

二、基本的安全配置

1. 创建安全配置类

创建一个继承自

WebSecurityConfigurerAdapter

的配置类，用于定义安全策略。

packagecn.juwatech.springboot.config;importorg.springframework.context.annotation.Bean;importorg.springframework.context.annotation.Configuration;importorg.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;importorg.springframework.security.config.annotation.web.builders.HttpSecurity;importorg.springframework.security.config.annotation.web.configuration.EnableWebSecurity;importorg.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;importorg.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;importorg.springframework.security.crypto.password.PasswordEncoder;@Configuration@EnableWebSecuritypublicclassSecurityConfigextendsWebSecurityConfigurerAdapter{@Overrideprotectedvoidconfigure(AuthenticationManagerBuilder auth)throwsException{
        auth.inMemoryAuthentication().withUser("user").password(passwordEncoder().encode("password")).roles("USER").and().withUser("admin").password(passwordEncoder().encode("admin")).roles("ADMIN");}@Overrideprotectedvoidconfigure(HttpSecurity http)throwsException{
        http
            .authorizeRequests().antMatchers("/admin/**").hasRole("ADMIN").antMatchers("/user/**").hasRole("USER").anyRequest().authenticated().and().formLogin().loginPage("/login").permitAll().and().logout().permitAll();}@BeanpublicPasswordEncoderpasswordEncoder(){returnnewBCryptPasswordEncoder();}}

2. 配置登录页面

创建一个简单的登录页面

login.html

，放置在

src/main/resources/templates

目录下：

<!DOCTYPEhtml><htmlxmlns:th="http://www.thymeleaf.org"><head><title>Login</title></head><body><div><h2>Login</h2><formth:action="@{/login}"method="post"><div><label>Username: <inputtype="text"name="username"></label></div><div><label>Password: <inputtype="password"name="password"></label></div><div><inputtype="submit"value="Sign in"></div></form></div></body></html>

三、基于注解的安全控制

Spring Security支持基于注解的安全控制，使用

@PreAuthorize

和

@Secured

注解可以在方法级别进行权限控制。

**1. 使用

@Secured

注解**

在服务类的方法上使用

@Secured

注解，指定角色权限。

packagecn.juwatech.springboot.service;importorg.springframework.security.access.annotation.Secured;importorg.springframework.stereotype.Service;@ServicepublicclassUserService{@Secured("ROLE_ADMIN")publicStringadminMethod(){return"Admin access only";}@Secured("ROLE_USER")publicStringuserMethod(){return"User access only";}}

**2. 使用

@PreAuthorize

注解**

使用

@PreAuthorize

注解支持SpEL（Spring Expression Language）表达式，实现更复杂的权限控制。

packagecn.juwatech.springboot.service;importorg.springframework.security.access.prepost.PreAuthorize;importorg.springframework.stereotype.Service;@ServicepublicclassSecureService{@PreAuthorize("hasRole('ADMIN')")publicStringadminOnly(){return"Admin access only";}@PreAuthorize("hasRole('USER') and #id == principal.id")publicStringuserOnly(Long id){return"User access for ID: "+ id;}}

四、使用JWT进行安全认证

JWT（JSON Web Token）是一种轻量级的认证机制，常用于移动和Web应用的认证。

1. 添加JWT依赖

在

pom.xml

中添加JWT相关依赖：

<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version></dependency>

2. 创建JWT工具类

实现一个JWT工具类，负责生成和解析JWT。

packagecn.juwatech.springboot.security;importio.jsonwebtoken.Claims;importio.jsonwebtoken.Jwts;importio.jsonwebtoken.SignatureAlgorithm;importorg.springframework.stereotype.Component;importjava.util.Date;@ComponentpublicclassJwtUtil{privateString secretKey ="secret";publicStringgenerateToken(String username){returnJwts.builder().setSubject(username).setIssuedAt(newDate()).setExpiration(newDate(System.currentTimeMillis()+1000*60*60*10)).signWith(SignatureAlgorithm.HS256, secretKey).compact();}publicClaimsextractClaims(String token){returnJwts.parser().setSigningKey(secretKey).parseClaimsJws(token).getBody();}publicStringextractUsername(String token){returnextractClaims(token).getSubject();}publicbooleanisTokenExpired(String token){returnextractClaims(token).getExpiration().before(newDate());}publicbooleanvalidateToken(String token,String username){return(username.equals(extractUsername(token))&&!isTokenExpired(token));}}

3. 集成JWT认证

在Spring Security配置中集成JWT认证。

packagecn.juwatech.springboot.config;importcn.juwatech.springboot.security.JwtUtil;importorg.springframework.beans.factory.annotation.Autowired;importorg.springframework.context.annotation.Bean;importorg.springframework.context.annotation.Configuration;importorg.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;importorg.springframework.security.config.annotation.web.builders.HttpSecurity;importorg.springframework.security.config.annotation.web.configuration.EnableWebSecurity;importorg.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;importorg.springframework.security.config.http.SessionCreationPolicy;importorg.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;importorg.springframework.security.crypto.password.PasswordEncoder;importorg.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;@Configuration@EnableWebSecuritypublicclassSecurityConfigextendsWebSecurityConfigurerAdapter{@AutowiredprivateJwtUtil jwtUtil;@Overrideprotectedvoidconfigure(AuthenticationManagerBuilder auth)throwsException{
        auth.inMemoryAuthentication().withUser("user").password(passwordEncoder().encode("password")).roles("USER").and().withUser("admin").password(passwordEncoder().encode("admin")).roles("ADMIN");}@Overrideprotectedvoidconfigure(HttpSecurity http)throwsException{
        http.csrf().disable().authorizeRequests().antMatchers("/login").permitAll().antMatchers("/admin/**").hasRole("ADMIN").antMatchers("/user/**").hasRole("USER").anyRequest().authenticated().and().sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        
        http.addFilterBefore(newJwtRequestFilter(jwtUtil),UsernamePasswordAuthenticationFilter.class);}@BeanpublicPasswordEncoderpasswordEncoder(){returnnewBCryptPasswordEncoder();}}

四、总结

通过本文，我们全面了解了在Spring Boot中实现安全配置的各种方法，包括基本的安全配置、基于注解的权限控制以及如何集成JWT进行认证。Spring Security提供了丰富的功能，使得应用程序的安全性得到有效保障。

微赚淘客系统3.0小编出品，必属精品！

标签： spring boot 安全后端

本文转载自: https://blog.csdn.net/u010405836/article/details/140227868
版权归原作者 微赚淘客系统开发者 所有，如有侵权，请联系我们删除。

Spring Boot中的安全配置与实现

发表评论

“Spring Boot中的安全配置与实现”的评论:

关于作者

overfit同步小助手

相关阅读

文章导航