Spring Security从入门到精通：手把手构建安全防线（实战向）

最新推荐文章于 2025-07-03 22:32:43 发布

原创最新推荐文章于 2025-07-03 22:32:43 发布 · 877 阅读

18 ·

CC 4.0 BY-SA版权

文章标签：

#spring #安全 #java #其他

文章目录

一、为什么你的系统需要安全防护？（真实案例警示）

去年我接手过一个紧急项目：某电商平台的订单系统被黑产批量刷单，每天损失超百万。**根本原因居然是登录接口没有做防暴力破解！！！**攻击者用Python脚本每秒发起上千次登录尝试，最终破解了数万个用户账号（后背发凉）。

这就是为什么说：系统安全不是可选项，而是生存底线。今天要讲的Spring Security，就是Java领域最硬核的安全框架（没有之一）。

二、Spring Security快速上手指南

2.1 环境搭建（避坑版）

<!-- 必选核心依赖 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

<!-- 开发阶段必备！禁用安全限制 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-devtools</artifactId>
    <scope>runtime</scope>
    <optional>true</optional>
</dependency>

重要提示：添加依赖后立即启动项目，你会发现：

所有接口都需要登录（默认用户user，密码在控制台随机生成）
自动开启CSRF防护（表单提交必须有_csrf参数）
默认开启HTTP Basic认证

（这时候千万别慌，咱们一步步来配置）

2.2 第一个安全配置类

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 密码编码器（必须配置！）
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll() // 公开路径
                .anyRequest().authenticated()          // 其他需要认证
            .and()
            .formLogin()
                .loginPage("/login")                  // 自定义登录页
                .permitAll()
            .and()
            .logout()
                .logoutSuccessUrl("/login?logout");   // 退出跳转
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("admin")
            .password(passwordEncoder().encode("123456"))
            .roles("ADMIN");
    }
}

避坑指南：

使用内存用户时，密码必须加密（否则报错There is no PasswordEncoder mapped…）
新版Spring Security默认关闭了CSRF，需要显式配置
前后端分离项目要关闭CSRF和session管理（后面会讲）

三、安全三板斧实战解析

3.1 认证体系搭建（含JWT方案）

传统Session方案：

// 配置Session管理
http.sessionManagement()
    .maximumSessions(1) // 单用户最大会话数
    .expiredUrl("/login?expired");

JWT方案（前后端分离必看）：

// JWT过滤器配置
http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);

// 禁用CSRF和Session
http.csrf().disable()
    .sessionManagement()
    .sessionCreationPolicy(SessionCreationPolicy.STATELESS);

3.2 权限控制实战（RBAC模型）

// 方法级权限控制
@PreAuthorize("hasRole('ADMIN') or @customChecker.check(authentication,#id)")
@GetMapping("/user/{id}")
public User getUser(@PathVariable Long id) {
    //...
}

// 动态权限配置
@Component
public class DynamicPermission implements FilterInvocationSecurityMetadataSource {
    
    // 从数据库加载权限配置
    @Override
    public Collection<ConfigAttribute> getAttributes(Object object) {
        String url = ((FilterInvocation) object).getRequestUrl();
        // 查询数据库获取该URL所需权限
        return SecurityConfig.createList(permissions);
    }
}

3.3 密码安全全流程

加密方案选型指南：

算法	安全性	特点
BCrypt	★★★★☆	自动加盐，抗彩虹表攻击
SCrypt	★★★★★	内存消耗型，抗GPU破解
Argon2	★★★★★	最新冠军算法，综合最强
SHA-256	★★☆☆☆	需自行加盐，已不推荐使用

// 密码升级策略（兼容老系统）
@Bean
public PasswordEncoder passwordEncoder() {
    return new DelegatingPasswordEncoder("bcrypt", 
        Map.of(
            "bcrypt", new BCryptPasswordEncoder(),
            "sha256", new MessageDigestPasswordEncoder("SHA-256")
        ));
}

四、企业级安全架构设计

4.1 典型攻击防御方案

防护场景清单：

暴力破解 → 登录限流（Redis实现）
XSS攻击 → 自动转义/内容安全策略
CSRF攻击 → Token验证/同源检测
SQL注入 → 参数化查询/ORM框架
越权访问 → 方法级权限校验

// 登录限流配置示例
@Component
public class LoginLimitFilter extends OncePerRequestFilter {

    private final RedisTemplate<String, String> redisTemplate;

    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                   HttpServletResponse response,
                                   FilterChain chain) {
        String key = "login_limit:" + request.getRemoteAddr();
        Long count = redisTemplate.opsForValue().increment(key);
        if (count > 5) {
            throw new RuntimeException("登录尝试次数过多！");
        }
        // 设置60秒过期
        redisTemplate.expire(key, 60, TimeUnit.SECONDS);
        chain.doFilter(request, response);
    }
}

4.2 安全审计与监控

// 自定义审计监听器
@Component
public class SecurityAuditListener {
    
    @EventListener
    public void onAuthSuccess(AuthenticationSuccessEvent event) {
        log.info("登录成功：{}", event.getAuthentication().getName());
    }

    @EventListener
    public void onAuthFailure(AbstractAuthenticationFailureEvent event) {
        log.warn("登录失败：{}", event.getException().getMessage());
    }
}

// Spring Boot Actuator安全端点
management.endpoint.health.show-details=when_authorized
management.endpoints.web.exposure.include=health,info,auditevents