Java Spring Security 怎么用

早上打开电脑想做个个人博客，刚把文章发出去，就收到陌生人的恶意刷评——这场景是不是特别熟悉？换做以前，咱们要么得熬夜写代码防恶意请求，要么得花大价钱找专业的安全工具，但其实有个现成的“安全保安”能帮咱们搞定大部分基础防护，它就是很多Java项目都在用来做安全管控的工具：Spring Security。

很多人一听“Security”就觉得是高大上的专业术语，其实它的核心功能一点都不复杂，说白了就是给咱们的Java项目装两道“门禁”——第一道是“你是谁”，第二道是“你能做什么”，所有不符合要求的请求都拦在门外。接下来咱们就用生活化的例子，一步步说清怎么把它用在自己的项目里。

第一步：给项目“装门禁”——引入依赖

就像咱们要装智能门禁，得先买门禁设备一样，用Spring Security前，得先把它的“零件”加到项目里。如果是用Maven管理的Java项目，只要在pom.xml文件里加一段配置代码就行，就像给手机装微信APP一样简单：

`xml

<!-- 引入Spring Security依赖 -->

<dependency>

<groupId>org.springframework.boot</groupId>

<artifactId>spring-boot-starter-security</artifactId>

</dependency>

`

加完这段代码后，项目会自动帮咱们下载需要的文件，就像手机自动下载微信安装包一样，不用手动去网上找。

第二步：设置门禁规则——哪些人能进

装完门禁，得告诉保安“哪些人能进哪个门”，对应到Spring Security里，就是设置“权限规则”。比如咱们做的个人博客，得满足两个基本需求：游客能看文章，登录后才能发评论、删自己的评论。

这时候可以写个简单的配置类，就像给保安写工作守则一样。代码里的规则也特别好懂：antMatchers("/articles/").permitAll()就是说所有带/articles的页面，游客都能看；antMatchers("/comments/").hasRole("USER")就是说带/comments的页面，必须是登录了的“USER”身份才能操作。就像小区里，花园所有人都能进，只有业主能进单元门。

第三步：给门禁设“通行证”——登录功能

光有规则不行，还得让用户能拿到“通行证”（也就是登录账号）。Spring Security已经帮咱们做好了基础的登录页面，只要启动项目，访问任意页面都会自动跳转到它自带的登录页，就像小区没门禁的时候，保安会拦住问你找谁，带你去登记一样。

当然咱们也可以自定义登录页面，比如想让登录页和博客风格统一，不用Spring Security自带的样式，只要在配置类里加一句formLogin().loginPage("/my-login")，再写个自己的登录页面就行。就像把小区的临时登记点改成和小区大门风格一致的值班室，更符合咱们的需求。

第四步：给用户分配“身份牌”——自定义用户权限

有时候咱们不想用Spring Security自带的账号密码，想自己管理用户，比如博客的作者是管理员，普通读者是用户，这时候就可以自己写个用户服务类。比如把账号存在数据库里，用户输入账号密码后，Spring Security会自动对比，要是对的就给用户发对应的身份牌，比如管理员是“ADMIN”，普通读者是“USER”，就像咱们去公司，前台给员工发工牌，给访客发临时访客牌，权限不一样。

最后：不用复杂代码，搞定基础安全

可能有人会说，这是不是得写好多复杂代码？其实Spring Security的核心就是“约定大于配置”——大部分常用的安全功能，它都帮咱们做好了，不用自己从零写代码。比如防恶意请求、加密密码（不会把密码存在数据库里明文显示，就像银行不会把你的密码写在存折上，只会存加密后的字符串），这些都不用咱们手动写，加完依赖就能自动生效。

当然，要是项目有特别的安全需求，比如需要和企业的统一登录系统对接，也可以用Spring Security的扩展功能，就像给门禁加人脸、指纹识别，不用换整个门禁系统，只要给它加个配件就行。对于大部分Java项目来说，用好Spring Security的基础功能，已经能搞定80%以上的安全问题，不用再花精力自己写安全代码啦。