在上一篇文章《Spring Boot安全性之Spring Security简介》中，我们对Spring Security的基本概念进行了介绍，包括其核心功能和如何将其集成到Spring Boot项目中。在本篇中，我们将深入探讨如何配置Spring Security以实现更高级别的安全性。

1. 添加依赖

首先，确保你的pom.xml中已经添加了Spring Security的相关依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

这样就可以通过Spring Boot的自动配置功能来利用Spring Security。

2. 配置基本安全性

我们可以通过创建一个安全配置类，来配置HTTP请求的安全性。创建一个名为SecurityConfig的类，并用@Configuration和@EnableWebSecurity注解标注。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll()  // 对/public/**路径放行
                .anyRequest().authenticated()            // 所有其他请求需要认证
                .and()
            .formLogin()                               // 开启表单登录
                .loginPage("/login")                    // 自定义登录页面
                .permitAll()
                .and()
            .logout()                                  // 开启注销功能
                .permitAll();
    }
}

2.1 解释

authorizeRequests()：定义了对请求的授权规则。
antMatchers("/public/**").permitAll()：允许对/public/**路径的任何人访问。
anyRequest().authenticated()：任何其他请求都需要认证。
formLogin()：启用基于表单的登录功能。
logout()：启用注销功能。

3. 用户认证

在Spring Security中，可以使用内存中的用户信息进行测试。我们可以在SecurityConfig类中重写configure(AuthenticationManagerBuilder auth)方法。

import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .withUser("user").password("{noop}password").roles("USER")
        .and()
        .withUser("admin").password("{noop}admin").roles("ADMIN");
}

3.1 解释

inMemoryAuthentication()：使用内存中的用户存储。
{noop}：表示密码存储为明文明文的前缀，不会进行加密处理。
roles("USER") 和 roles("ADMIN")：为用户分配角色。

4. 自定义登录页面

你可以创建一个简单的自定义登录页面。在src/main/resources/templates目录下创建login.html，使用Thymeleaf作为模板引擎。

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Login Page</title>
</head>
<body>
    <h2>Login Page</h2>
    <form action="#" th:action="@{/login}" method="post">
        <div>
            <label for="username">Username:</label>
            <input type="text" id="username" name="username"/>
        </div>
        <div>
            <label for="password">Password:</label>
            <input type="password" id="password" name="password"/>
        </div>
        <div>
            <button type="submit">Login</button>
        </div>
    </form>
</body>
</html>

5. CSRF保护

Spring Security默认启用CSRF防护。如果你使用的是表单登录，通常不需要修改这个配置。但在某些情况下，如使用AJAX请求时，需要注意处理CSRF令牌。

登录页面中包含CSRF令牌的示例：

<form action="#" th:action="@{/login}" method="post">
    <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>
    <!-- 其他表单字段 -->
</form>

6. 其他安全配置

除了基本配置外，还有一些常见的安全策略：

HTTPS支持：强烈建议使用HTTPS，避免明文传输用户敏感数据。
隐藏错误信息：避免显示过于详细的错误信息，可以通过配置 Server.tomcat.remote-ip-header 和 Server.tomcat.protocol-header 避免被潜在攻击者利用。
黑名单、白名单和限流控制：可以实现IP地址的限制访问、流量控制等。

结尾

在本篇文章中，我们探讨了如何在Spring Boot中配置Spring Security，以确保我们的应用程序安全。接下来，我们将进入单元测试的环节，探讨如何利用JUnit对我们的应用进行测试。具体内容将在下一篇文章《Spring Boot的测试之JUnit进行单元测试》中进行详细讲解。

希望本篇教程对你使用Spring Boot进行安全配置有所帮助，如有疑问，请随时交流！

Jupyter AI

20 Spring Boot安全性之配置安全性