首先引入Spring Security依赖，然后通过SecurityConfig配置安全策略，接着实现UserDetailsService加载用户信息，并配置BCrypt密码编码器。具体为：添加spring-boot-starter-security依赖后，所有接口默认受保护；在SecurityConfig中定义permitAll允许公开访问路径，hasRole限制ADMIN接口访问，启用formLogin和httpBasic认证方式；CustomUserDetailsService从数据库加载用户并构建UserDetails对象；使用BCryptPasswordEncoder确保密码加密存储。角色需注意默认的ROLE_前缀匹配规则。初期可使用内置登录页验证流程，后续可集成JWT实现无状态认证。

Spring Security 是 Java 后端开发中实现用户认证和授权的主流框架，能有效保护 Web 应用的安全。要使用它实现基本的用户登录认证和接口权限控制，核心步骤包括引入依赖、配置安全策略、定义用户详情服务以及设置角色权限。

添加 Spring Security 依赖

在基于 Spring Boot 的项目中，只需在 pom.xml 中加入以下依赖：

<dependency>
  <groupId>org.springframework.boot</groupId>
  <artifactId>spring-boot-starter-security</artifactId>
</dependency>

引入后，所有接口默认会被保护，访问时需要登录。

配置 SecurityConfig 类

创建一个配置类继承 WebSecurityConfigurerAdapter（旧版本）或直接使用新式组件方式（Spring Security 5.7+ 推荐），以下是较新的函数式配置示例：

立即学习“Java免费学习笔记（深入）”；

@Configuration
@EnableWebSecurity
public class SecurityConfig {

  @Bean
  public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
      .authorizeHttpRequests(auth -> auth
        .requestMatchers("/api/public/**").permitAll()
        .requestMatchers("/api/admin/**").hasRole("ADMIN")
        .anyRequest().authenticated()
      )
      .formLogin(withDefaults())
      .httpBasic(withDefaults());
    return http.build();
  }
}

说明：

Alibabacloud Sdk Client Initialization For Java

在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。

下载

• permitAll()：允许所有人访问公开接口
• hasRole("ADMIN")：只有拥有 ADMIN 角色的用户才能访问
• formLogin()：启用表单登录页面
• httpBasic()：支持 HTTP Basic 认证（适合 API 调试）

自定义用户认证逻辑

通过实现 UserDetailsService 接口加载用户信息：

@Service
public class CustomUserDetailsService implements UserDetailsService {

  @Autowired
  private UserRepository userRepository;

  @Override
  public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    User user = userRepository.findByUsername(username)
      .orElseThrow(() -> new UsernameNotFoundException("用户不存在: " + username));

    return org.springframework.security.core.userdetails.User
      .withUsername(user.getUsername())
      .password(user.getPassword())
      .roles(user.getRoles().toArray(new String[0]))
      .build();
  }
}

确保数据库中的密码是使用 PasswordEncoder 加密存储的。

配置密码编码器

推荐使用 BCrypt：

@Bean
public PasswordEncoder passwordEncoder() {
  return new BCryptPasswordEncoder();
}

注册或保存用户时，必须用此编码器对明文密码加密后再存入数据库。

基本上就这些。配合 REST 接口和 JWT 可进一步实现无状态认证。初期用内置登录页快速验证流程即可。安全机制不复杂但容易忽略细节，比如角色前缀 ROLE_ 和权限表达式的匹配规则。