对于最新的稳定版本，请使用 Spring Security 6.5.3！spring-doc.cadn.net.cn

Java 配置

在 Spring 3.1 中，Spring Framework 中添加了对 Java 配置的一般支持。 Spring Security 3.2 引入了 Java 配置，让用户无需使用任何 XML 即可配置 Spring Security。spring-doc.cadn.net.cn

如果您熟悉安全命名空间配置，您应该会发现它与 Spring Security Java 配置之间有很多相似之处。spring-doc.cadn.net.cn

Spring Security 提供了许多示例应用程序来演示 Spring Security Java 配置的使用。spring-doc.cadn.net.cn

Hello Web Security Java 配置

第一步是创建我们的 Spring Security Java 配置。 该配置创建了一个称为springSecurityFilterChain，负责应用程序内的所有安全性（保护应用程序 URL、验证提交的用户名和密码、重定向到登录表单等）。 以下示例显示了 Spring Security Java 配置的最基本示例：spring-doc.cadn.net.cn

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.context.annotation.*;
import org.springframework.security.config.annotation.authentication.builders.*;
import org.springframework.security.config.annotation.web.configuration.*;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

	@Bean
	public UserDetailsService userDetailsService() {
		InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
		manager.createUser(User.withDefaultPasswordEncoder().username("user").password("password").roles("USER").build());
		return manager;
	}
}

这种配置并不复杂或广泛，但它做了很多：spring-doc.cadn.net.cn

抽象SecurityWebApplication初始化器

下一步是注册springSecurityFilterChain替换为 WAR 文件。 您可以在 Java 配置中使用Spring的WebApplicationInitializer支持在 Servlet 3.0+ 环境中。 毫不奇怪，Spring Security 提供了一个基类（AbstractSecurityWebApplicationInitializer） 以确保springSecurityFilterChain为您注册。 我们使用AbstractSecurityWebApplicationInitializer取决于我们是否已经在使用 Spring，或者 Spring Security 是否是我们应用程序中唯一的 Spring 组件。spring-doc.cadn.net.cn

AbstractSecurityWebApplicationInitializer 没有现有 Spring

如果您没有使用 Spring 或 Spring MVC，则需要将WebSecurityConfig到超类以确保选择配置：spring-doc.cadn.net.cn

import org.springframework.security.web.context.*;

public class SecurityWebApplicationInitializer
	extends AbstractSecurityWebApplicationInitializer {

	public SecurityWebApplicationInitializer() {
		super(WebSecurityConfig.class);
	}
}

这SecurityWebApplicationInitializer:spring-doc.cadn.net.cn

AbstractSecurityWebApplicationInitializer 与 Spring MVC

如果我们在应用程序的其他地方使用 Spring，我们可能已经有一个WebApplicationInitializer那就是加载我们的 Spring 配置。 如果我们使用前面的配置，我们会得到一个错误。 相反，我们应该使用现有的ApplicationContext. 例如，如果我们使用 Spring MVC，则我们的SecurityWebApplicationInitializer可能如下所示：spring-doc.cadn.net.cn

import org.springframework.security.web.context.*;

public class SecurityWebApplicationInitializer
	extends AbstractSecurityWebApplicationInitializer {

}

这仅注册springSecurityFilterChain应用程序中的每个 URL。 之后，我们需要确保WebSecurityConfig加载在我们现有的ApplicationInitializer. 例如，如果我们使用 Spring MVC，它会添加到getServletConfigClasses():spring-doc.cadn.net.cn

public class MvcWebApplicationInitializer extends
		AbstractAnnotationConfigDispatcherServletInitializer {

	@Override
	protected Class<?>[] getServletConfigClasses() {
		return new Class[] { WebSecurityConfig.class, WebMvcConfig.class };
	}

	// ... other overrides ...
}

这样做的原因是 Spring Security 需要能够检查一些 Spring MVC 配置，以便适当地配置底层请求匹配器，因此它们需要位于相同的应用程序上下文中。 将 Spring Security 置于getRootConfigClasses将其放入可能无法找到 Spring MVC 的HandlerMappingIntrospector.spring-doc.cadn.net.cn

为多个 Spring MVC 调度程序配置

如果需要，可以将任何与 Spring MVC 无关的 Spring Security 配置放置在不同的配置类中，如下所示：spring-doc.cadn.net.cn

public class MvcWebApplicationInitializer extends
		AbstractAnnotationConfigDispatcherServletInitializer {

	@Override
    protected Class<?>[] getRootConfigClasses() {
		return new Class[] { NonWebSecurityConfig.class };
    }

	@Override
	protected Class<?>[] getServletConfigClasses() {
		return new Class[] { WebSecurityConfig.class, WebMvcConfig.class };
	}

	// ... other overrides ...
}

如果您有多个AbstractAnnotationConfigDispatcherServletInitializer并且不想在它们之间重复常规安全配置。spring-doc.cadn.net.cn

Http安全

到目前为止，我们的WebSecurityConfig仅包含有关如何对用户进行身份验证的信息。 Spring Security 如何知道我们要要求所有用户都经过身份验证？ Spring Security 如何知道我们想要支持基于表单的身份验证？ 实际上，有一个配置类（称为SecurityFilterChain）在幕后被调用。 它配置了以下默认实现：spring-doc.cadn.net.cn

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
	http
		.authorizeHttpRequests(authorize -> authorize
			.anyRequest().authenticated()
		)
		.formLogin(withDefaults())
		.httpBasic(withDefaults());
	return http.build();
}

默认配置（如前面的示例所示）：spring-doc.cadn.net.cn

请注意，此配置与 XML 命名空间配置平行：spring-doc.cadn.net.cn

<http>
	<intercept-url pattern="/**" access="authenticated"/>
	<form-login />
	<http-basic />
</http>

多个 HttpSecurity 实例

我们可以配置多个HttpSecurity实例，就像我们可以有多个<http>块。 关键是要注册多个SecurityFilterChain @Beans. 以下示例对以/api/.spring-doc.cadn.net.cn

@Configuration
@EnableWebSecurity
public class MultiHttpSecurityConfig {
	@Bean                                                             (1)
	public UserDetailsService userDetailsService() throws Exception {
		// ensure the passwords are encoded properly
		UserBuilder users = User.withDefaultPasswordEncoder();
		InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
		manager.createUser(users.username("user").password("password").roles("USER").build());
		manager.createUser(users.username("admin").password("password").roles("USER","ADMIN").build());
		return manager;
	}

	@Bean
	@Order(1)                                                        (2)
	public SecurityFilterChain apiFilterChain(HttpSecurity http) throws Exception {
		http
			.securityMatcher("/api/**")                              (3)
			.authorizeHttpRequests(authorize -> authorize
				.anyRequest().hasRole("ADMIN")
			)
			.httpBasic(withDefaults());
		return http.build();
	}

	@Bean                                                            (4)
	public SecurityFilterChain formLoginFilterChain(HttpSecurity http) throws Exception {
		http
			.authorizeHttpRequests(authorize -> authorize
				.anyRequest().authenticated()
			)
			.formLogin(withDefaults());
		return http.build();
	}
}
1 像往常一样配置身份验证。
2 创建SecurityFilterChain包含@Order指定哪个SecurityFilterChain应该首先考虑。
3 这http.securityMatcher声明该HttpSecurity仅适用于以/api/.
4 创建另一个SecurityFilterChain. 如果 URL 不是以/api/，则使用此配置。 此配置在apiFilterChain，因为它有一个@Order值1（否@Order默认为 last）。

自定义 DSL

您可以在 Spring Security 中提供自己的自定义 DSL：spring-doc.cadn.net.cn

public class MyCustomDsl extends AbstractHttpConfigurer<MyCustomDsl, HttpSecurity> {
	private boolean flag;

	@Override
	public void init(HttpSecurity http) throws Exception {
		// any method that adds another configurer
		// must be done in the init method
		http.csrf().disable();
	}

	@Override
	public void configure(HttpSecurity http) throws Exception {
		ApplicationContext context = http.getSharedObject(ApplicationContext.class);

		// here we lookup from the ApplicationContext. You can also just create a new instance.
		MyFilter myFilter = context.getBean(MyFilter.class);
		myFilter.setFlag(flag);
		http.addFilterBefore(myFilter, UsernamePasswordAuthenticationFilter.class);
	}

	public MyCustomDsl flag(boolean value) {
		this.flag = value;
		return this;
	}

	public static MyCustomDsl customDsl() {
		return new MyCustomDsl();
	}
}

这实际上就是像HttpSecurity.authorizeHttpRequests()被实施。spring-doc.cadn.net.cn

然后，您可以使用自定义 DSL：spring-doc.cadn.net.cn

@Configuration
@EnableWebSecurity
public class Config {
	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.apply(customDsl())
				.flag(true)
				.and()
			...;
		return http.build();
	}
}

按以下顺序调用代码：spring-doc.cadn.net.cn

如果你愿意，你可以有HttpSecurity加MyCustomDsl默认情况下，使用SpringFactories. 例如，您可以在名为META-INF/spring.factories包含以下内容：spring-doc.cadn.net.cn

元-INF/spring.factories
org.springframework.security.config.annotation.web.configurers.AbstractHttpConfigurer = sample.MyCustomDsl

您还可以显式禁用默认值：spring-doc.cadn.net.cn

@Configuration
@EnableWebSecurity
public class Config {
	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.apply(customDsl()).disable()
			...;
		return http.build();
	}
}

后处理已配置对象

Spring Security 的 Java 配置不会公开它配置的每个对象的每个属性。这简化了大多数用户的配置。毕竟，如果每个属性都公开，则用户可以使用标准 bean 配置。spring-doc.cadn.net.cn

虽然有充分的理由不直接公开每个属性，但用户可能仍然需要更高级的配置选项。为了解决这个问题，Spring Security 引入了ObjectPostProcessor，可用于修改或替换许多ObjectJava 配置创建的实例。例如，要配置filterSecurityPublishAuthorizationSuccess属性FilterSecurityInterceptor，您可以使用以下内容：spring-doc.cadn.net.cn

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
	http
		.authorizeHttpRequests(authorize -> authorize
			.anyRequest().authenticated()
			.withObjectPostProcessor(new ObjectPostProcessor<FilterSecurityInterceptor>() {
				public <O extends FilterSecurityInterceptor> O postProcess(
						O fsi) {
					fsi.setPublishAuthorizationSuccess(true);
					return fsi;
				}
			})
		);
	return http.build();
}