1.创建Spring Boot项目

我们需要创建一个Spring Boot项目，并将Spring Security添加到项目中。

• 使用Spring Initializr创建项目：

  • 打开 Spring Initializr 网站。
  • 选择要使用的依赖项,包括 Spring Security。
  • 点击生成,然后下载项目。

• 创建项目目录结构：

  src/main/java/
  ├── com.example.springbootsecurity
  │   ├── SecurityConfig.java
  │   └── application.properties
  └── main/
      └── app.java

配置应用程序的安全性

我们需要在 application.properties 文件中配置Spring Security的安全设置。

• 启用Spring Security自动配置：

  spring.security.enable.autoconfigure=true

• 定义安全配置：

  spring.security.config.annotation.enabled=true

• 配置用户和密码： 如果你使用内置的 UserDetailsService，你可以在 application.properties 中定义一个用户和密码：

  spring.security.user.name=admin
  spring.security.user.password=admin123

配置安全认证

Spring Security支持多种安全认证方式，包括基于username和password的认证，以及基于OAuth2的认证。

1 基于username和password的认证

如果你使用内置的 UserDetailsService，你需要创建一个实现 UserDetailsService 的bean。

• 创建 UserDetailsService 实现类：

  @Service
  @EnableWebSecurity
  public class SecurityConfig extends WebSecurityConfigurerAdapter {
      @Override
      protected void configure(HttpSecurity httpSecurity) throws Exception {
          httpSecurity
              .authorizeRequests()
              .anyRequest().authenticated()
              .withUserDetailsService(userDetailsService);
      }
  }

• 在 application.properties 中配置数据库（如H2）：

  spring.datasource.url=jdbc:h2:mem:securitydb
  spring.datasource.username=sa
  spring.datasource.password=
  spring.h2.console.enabled=true
  spring.h2.console.path=/h2-console

• 添加H2数据库依赖： 在项目的 pom.xml 中添加：

  <dependency>
      <groupId>com.h2database</groupId>
      <artifactId>h2</artifactId>
      <version>2.1.214</version>
  </dependency>

2 基于OAuth2的认证

如果你需要集成OAuth2,可以在 application.properties 中配置OAuth2的客户端和资源服务器。

• 配置OAuth2客户端：

  spring.security.oauth2.client.registration.client-id=client123
  spring.security.oauth2.client.registration.client-secret=client123
  spring.security.oauth2.client.provider.oauth2-provider.token-endpoints.url=https://example.com/oauth2-provider/token

• 配置OAuth2资源服务器：

  spring.security.oauth2.resource.server.authentication.enabled=true
  spring.security.oauth2.resource.server.jwt.issuer=security-example
  spring.security.oauth2.resource.server.jwt.audience=security-audience

配置权限管理和角色赋予

Spring Security支持基于角色的权限管理，你可以在 application.properties 中定义角色和权限。

• 定义角色和权限：

  spring.security.roles=ROLE_ADMIN,ROLE_USER
  spring.security.permission.ADMIN=ALL_PERMISSIONS
  spring.security.permission.USER=VIEW_ONLY

• 使用方法权限： 在控制器方法上使用 @PreAuthorize 和 @PostAuthorize 来限制权限。

配置“记住我”功能

如果你需要实现“记住我”功能，可以在 application.properties 中配置“记住我”Cookie。

• 配置“记住我”Cookie：

  spring.security.remember_me.cookie.name=REMEMBER_ME
  spring.security.remember_me.cookie.max_age=360

• 在登录后激活会话：

  @Controller
  public class SecurityController {
      @GetMapping("/login")
      public String login(@RequestParam("username") String username,
                         @RequestParam("password") String password,
                         Model model) {
          // 你的登录逻辑
          return "login";
      }
  }

配置错误处理和异常

你可以在 application.properties 中配置错误处理和异常。

• 配置全局异常处理器：

  spring.security.globalExceptionSupported=true

• 自定义错误页面： 在 application.properties 中添加：

  spring.security.errorPageUrl=/error

测试和验证配置

确保你已经配置了正确的安全设置,并通过工具测试你的API。

• 启动应用程序：

  mvn spring-boot:run

• 测试API安全性： 使用Postman或其他HTTP客户端工具，发送请求并检查是否需要认证。

注意事项

• 密码复杂度：确保密码符合复杂度要求（通常至少8字符，包含字母、数字和特殊符号）。
• 配置错误：如果你遇到认证失败的问题，请检查 application.properties 中的配置是否正确。
• 依赖版本：确保你使用的Spring Security版本是最新的，可能会有一些新功能或修复。

通过以上步骤,你应该能够成功配置一个基本的Spring Security系统。