跳到主要内容

Spring 安全

DeepSeek V3 中英对照 Spring Security

如果 Spring Security 在类路径中，那么 Web 应用程序默认是受保护的。Spring Boot 依赖于 Spring Security 的内容协商策略来决定是使用 httpBasic 还是 formLogin。要为 Web 应用程序添加方法级别的安全性，你还可以添加 @EnableMethodSecurity 并根据你的需求进行配置。更多信息可以在 Spring Security 参考指南 中找到。

默认的 UserDetailsService 只有一个用户。用户名为 user，密码是随机的，并在应用程序启动时以 WARN 级别打印出来，如下例所示：

Using generated security password: 78fa095d-3f4c-48b1-ad50-e24c31d5cf35

This generated password is for development use only. Your security configuration must be updated before running your application in production.
none
备注

如果你微调了日志配置，请确保将 org.springframework.boot.autoconfigure.security 类别设置为记录 WARN 级别的消息。否则，默认密码将不会被打印出来。

你可以通过提供 spring.security.user.name 和 spring.security.user.password 来更改用户名和密码。

默认情况下，你在 Web 应用程序中获得的基本功能包括：

你可以通过为其添加一个 bean 来提供不同的 AuthenticationEventPublisher。

MVC 安全性​

默认的安全配置在 SecurityAutoConfiguration 和 UserDetailsServiceAutoConfiguration 中实现。SecurityAutoConfiguration 导入了 SpringBootWebSecurityConfiguration 用于 Web 安全，而 UserDetailsServiceAutoConfiguration 则配置了身份验证，这在非 Web 应用程序中也是相关的。

要完全关闭默认的 Web 应用程序安全配置，包括 Actuator 安全，或者要结合多个 Spring Security 组件（如 OAuth2 客户端和资源服务器），可以添加一个类型为 SecurityFilterChain 的 Bean（这样做不会禁用 UserDetailsService 配置）。如果还要关闭 UserDetailsService 配置，可以添加一个类型为 UserDetailsService、AuthenticationProvider 或 AuthenticationManager 的 Bean。

UserDetailsService 的自动配置也会在以下任一 Spring Security 模块存在于 classpath 时回退：

  • spring-security-oauth2-client

  • spring-security-oauth2-resource-server

  • spring-security-saml2-service-provider

这些是 Spring Security 相关的依赖项，分别用于 OAuth2 客户端、OAuth2 资源服务器和 SAML2 服务提供者的功能实现。

要使用 UserDetailsService 以及一个或多个这些依赖项，请定义你自己的 InMemoryUserDetailsManager Bean。

访问规则可以通过添加自定义的 SecurityFilterChain bean 来覆盖。Spring Boot 提供了一些便捷方法，可用于覆盖 actuator 端点和静态资源的访问规则。EndpointRequest 可以用来创建一个基于 management.endpoints.web.base-path 属性的 RequestMatcher。PathRequest 可以用来为常用位置的资源创建一个 RequestMatcher。

WebFlux 安全​

与 Spring MVC 应用程序类似，您可以通过添加 spring-boot-starter-security 依赖项来保护您的 WebFlux 应用程序。默认的安全配置在 ReactiveSecurityAutoConfiguration 和 UserDetailsServiceAutoConfiguration 中实现。ReactiveSecurityAutoConfiguration 导入了 WebFluxSecurityConfiguration 用于 Web 安全，而 UserDetailsServiceAutoConfiguration 配置了身份验证，这在非 Web 应用程序中同样适用。

要完全关闭默认的 Web 应用程序安全配置，包括 Actuator 安全配置，可以添加一个类型为 WebFilterChainProxy 的 Bean（这样做不会禁用 UserDetailsService 配置）。如果还要关闭 UserDetailsService 配置，可以添加一个类型为 ReactiveUserDetailsService 或 ReactiveAuthenticationManager 的 Bean。

当以下任一 Spring Security 模块出现在类路径中时，自动配置也会回退：

  • spring-security-oauth2-client

  • spring-security-oauth2-resource-server

要使用 ReactiveUserDetailsService 以及一个或多个这些依赖项，请定义你自己的 MapReactiveUserDetailsService bean。

访问规则以及多个 Spring Security 组件（如 OAuth 2 Client 和 Resource Server）的使用可以通过添加自定义的 SecurityWebFilterChain bean 进行配置。Spring Boot 提供了便捷方法，可用于覆盖对 actuator 端点和静态资源的访问规则。EndpointRequest 可用于创建基于 management.endpoints.web.base-path 属性的 ServerWebExchangeMatcher。

PathRequest 可用于为常用位置中的资源创建 ServerWebExchangeMatcher。

例如，您可以通过添加如下内容来自定义您的安全配置：

import org.springframework.boot.autoconfigure.security.reactive.PathRequest;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;

import static org.springframework.security.config.Customizer.withDefaults;

@Configuration(proxyBeanMethods = false)
public class MyWebFluxSecurityConfiguration {

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http.authorizeExchange((exchange) -> {
            exchange.matchers(PathRequest.toStaticResources().atCommonLocations()).permitAll();
            exchange.pathMatchers("/foo", "/bar").authenticated();
        });
        http.formLogin(withDefaults());
        return http.build();
    }

}
java

OAuth2​

OAuth2 是一个广泛使用的授权框架，Spring 对其提供了支持。

客户端​

如果你的类路径中包含了 spring-security-oauth2-client，你可以利用一些自动配置来设置 OAuth2/Open ID Connect 客户端。该配置使用了 OAuth2ClientProperties 下的属性。这些属性同样适用于 Servlet 和响应式应用程序。

你可以在 spring.security.oauth2.client 前缀下注册多个 OAuth2 客户端和提供者，如下例所示：

spring.security.oauth2.client.registration.my-login-client.client-id=abcd
spring.security.oauth2.client.registration.my-login-client.client-secret=password
spring.security.oauth2.client.registration.my-login-client.client-name=Client for OpenID Connect
spring.security.oauth2.client.registration.my-login-client.provider=my-oauth-provider
spring.security.oauth2.client.registration.my-login-client.scope=openid,profile,email,phone,address
spring.security.oauth2.client.registration.my-login-client.redirect-uri={baseUrl}/login/oauth2/code/{registrationId}
spring.security.oauth2.client.registration.my-login-client.client-authentication-method=client_secret_basic
spring.security.oauth2.client.registration.my-login-client.authorization-grant-type=authorization_code
spring.security.oauth2.client.registration.my-client-1.client-id=abcd
spring.security.oauth2.client.registration.my-client-1.client-secret=password
spring.security.oauth2.client.registration.my-client-1.client-name=Client for user scope
spring.security.oauth2.client.registration.my-client-1.provider=my-oauth-provider
spring.security.oauth2.client.registration.my-client-1.scope=user
spring.security.oauth2.client.registration.my-client-1.redirect-uri={baseUrl}/authorized/user
spring.security.oauth2.client.registration.my-client-1.client-authentication-method=client_secret_basic
spring.security.oauth2.client.registration.my-client-1.authorization-grant-type=authorization_code
spring.security.oauth2.client.registration.my-client-2.client-id=abcd
spring.security.oauth2.client.registration.my-client-2.client-secret=password
spring.security.oauth2.client.registration.my-client-2.client-name=Client for email scope
spring.security.oauth2.client.registration.my-client-2.provider=my-oauth-provider
spring.security.oauth2.client.registration.my-client-2.scope=email
spring.security.oauth2.client.registration.my-client-2.redirect-uri={baseUrl}/authorized/email
spring.security.oauth2.client.registration.my-client-2.client-authentication-method=client_secret_basic
spring.security.oauth2.client.registration.my-client-2.authorization-grant-type=authorization_code
spring.security.oauth2.client.provider.my-oauth-provider.authorization-uri=https://my-auth-server.com/oauth2/authorize
spring.security.oauth2.client.provider.my-oauth-provider.token-uri=https://my-auth-server.com/oauth2/token
spring.security.oauth2.client.provider.my-oauth-provider.user-info-uri=https://my-auth-server.com/userinfo
spring.security.oauth2.client.provider.my-oauth-provider.user-info-authentication-method=header
spring.security.oauth2.client.provider.my-oauth-provider.jwk-set-uri=https://my-auth-server.com/oauth2/jwks
spring.security.oauth2.client.provider.my-oauth-provider.user-name-attribute=name
properties

对于支持 OpenID Connect 发现 的 OpenID Connect 提供商，配置可以进一步简化。提供商需要配置一个 issuer-uri，这是它声明的 Issuer Identifier 的 URI。例如，如果提供的 issuer-uri 是 "https://example.com"，那么将向 "https://example.com/.well-known/openid-configuration" 发起一个 "OpenID 提供商配置请求"。预期结果是一个 "OpenID 提供商配置响应"。以下示例展示了如何使用 issuer-uri 配置 OpenID Connect 提供商：

spring.security.oauth2.client.provider.oidc-provider.issuer-uri=https://dev-123456.oktapreview.com/oauth2/default/
properties

默认情况下，Spring Security 的 OAuth2LoginAuthenticationFilter 仅处理匹配 /login/oauth2/code/* 的 URL。如果你想要自定义 redirect-uri 以使用不同的模式，你需要提供配置来处理该自定义模式。例如，对于 Servlet 应用，你可以添加一个类似于以下的自定义 SecurityFilterChain：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration(proxyBeanMethods = false)
@EnableWebSecurity
public class MyOAuthClientConfiguration {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests((requests) -> requests
                .anyRequest().authenticated()
            )
            .oauth2Login((login) -> login
                .redirectionEndpoint((endpoint) -> endpoint
                    .baseUri("/login/oauth2/callback/*")
                )
            );
        return http.build();
    }

}
java
提示

Spring Boot 自动配置了一个 InMemoryOAuth2AuthorizedClientService，它被 Spring Security 用于客户端注册的管理。InMemoryOAuth2AuthorizedClientService 的功能有限，我们建议仅在开发环境中使用它。对于生产环境，请考虑使用 JdbcOAuth2AuthorizedClientService 或创建你自己的 OAuth2AuthorizedClientService 实现。

常见提供商的 OAuth2 客户端注册​

对于常见的 OAuth2 和 OpenID 提供商，包括 Google、Github、Facebook 和 Okta，我们提供了一组默认的提供商配置（分别为 google、github、facebook 和 okta）。

如果您不需要自定义这些提供者，可以将 provider 属性设置为需要推断默认值的提供者。此外，如果客户端注册的键与默认支持的提供者匹配，Spring Boot 也会自动推断。

换句话说，以下示例中的两个配置都使用了 Google 提供程序：

spring.security.oauth2.client.registration.my-client.client-id=abcd
spring.security.oauth2.client.registration.my-client.client-secret=password
spring.security.oauth2.client.registration.my-client.provider=google
spring.security.oauth2.client.registration.google.client-id=abcd
spring.security.oauth2.client.registration.google.client-secret=password
properties

资源服务器​

如果你在类路径中有 spring-security-oauth2-resource-server，Spring Boot 可以设置一个 OAuth2 资源服务器。对于 JWT 配置，需要指定一个 JWK Set URI 或 OIDC Issuer URI，如下例所示：

spring.security.oauth2.resourceserver.jwt.jwk-set-uri=https://example.com/oauth2/default/v1/keys
properties
spring.security.oauth2.resourceserver.jwt.issuer-uri=https://dev-123456.oktapreview.com/oauth2/default/
properties
备注

如果授权服务器不支持 JWK Set URI，你可以配置资源服务器使用用于验证 JWT 签名的公钥。这可以通过 spring.security.oauth2.resourceserver.jwt.public-key-location 属性来实现，该属性的值需要指向一个包含 PEM 编码的 x509 格式公钥的文件。

spring.security.oauth2.resourceserver.jwt.audiences 属性可用于指定 JWT 中 aud 声明的预期值。例如，要求 JWT 包含值为 my-audience 的 aud 声明：

spring.security.oauth2.resourceserver.jwt.audiences[0]=my-audience
properties

相同的属性同时适用于 servlet 和响应式应用程序。此外，你可以为 servlet 应用程序定义自己的 JwtDecoder bean，或者为响应式应用程序定义 ReactiveJwtDecoder。

在使用不透明令牌（opaque tokens）而非 JWT 的情况下，你可以通过以下属性配置来通过内省（introspection）验证令牌：

spring.security.oauth2.resourceserver.opaquetoken.introspection-uri=https://example.com/check-token
spring.security.oauth2.resourceserver.opaquetoken.client-id=my-client-id
spring.security.oauth2.resourceserver.opaquetoken.client-secret=my-client-secret
properties

同样，这些属性适用于 Servlet 和 Reactive 应用程序。或者，您可以为 Servlet 应用程序定义自己的 OpaqueTokenIntrospector Bean，或为 Reactive 应用程序定义 ReactiveOpaqueTokenIntrospector。

授权服务器​

如果你在类路径中包含了 spring-security-oauth2-authorization-server，你可以利用一些自动配置来设置一个基于 Servlet 的 OAuth2 授权服务器。

你可以在 spring.security.oauth2.authorizationserver.client 前缀下注册多个 OAuth2 客户端，如下例所示：

spring.security.oauth2.authorizationserver.client.my-client-1.registration.client-id=abcd
spring.security.oauth2.authorizationserver.client.my-client-1.registration.client-secret={noop}secret1
spring.security.oauth2.authorizationserver.client.my-client-1.registration.client-authentication-methods[0]=client_secret_basic
spring.security.oauth2.authorizationserver.client.my-client-1.registration.authorization-grant-types[0]=authorization_code
spring.security.oauth2.authorizationserver.client.my-client-1.registration.authorization-grant-types[1]=refresh_token
spring.security.oauth2.authorizationserver.client.my-client-1.registration.redirect-uris[0]=https://my-client-1.com/login/oauth2/code/abcd
spring.security.oauth2.authorizationserver.client.my-client-1.registration.redirect-uris[1]=https://my-client-1.com/authorized
spring.security.oauth2.authorizationserver.client.my-client-1.registration.scopes[0]=openid
spring.security.oauth2.authorizationserver.client.my-client-1.registration.scopes[1]=profile
spring.security.oauth2.authorizationserver.client.my-client-1.registration.scopes[2]=email
spring.security.oauth2.authorizationserver.client.my-client-1.registration.scopes[3]=phone
spring.security.oauth2.authorizationserver.client.my-client-1.registration.scopes[4]=address
spring.security.oauth2.authorizationserver.client.my-client-1.require-authorization-consent=true
spring.security.oauth2.authorizationserver.client.my-client-2.registration.client-id=efgh
spring.security.oauth2.authorizationserver.client.my-client-2.registration.client-secret={noop}secret2
spring.security.oauth2.authorizationserver.client.my-client-2.registration.client-authentication-methods[0]=client_secret_jwt
spring.security.oauth2.authorizationserver.client.my-client-2.registration.authorization-grant-types[0]=client_credentials
spring.security.oauth2.authorizationserver.client.my-client-2.registration.scopes[0]=user.read
spring.security.oauth2.authorizationserver.client.my-client-2.registration.scopes[1]=user.write
spring.security.oauth2.authorizationserver.client.my-client-2.jwk-set-uri=https://my-client-2.com/jwks
spring.security.oauth2.authorizationserver.client.my-client-2.token-endpoint-authentication-signing-algorithm=RS256
properties
备注

client-secret 属性的格式必须能够与配置的 PasswordEncoder 相匹配。默认的 PasswordEncoder 实例是通过 PasswordEncoderFactories.createDelegatingPasswordEncoder() 创建的。

Spring Boot 为 Spring Authorization Server 提供的自动配置旨在帮助快速上手。大多数应用程序都需要进行自定义，并且会希望定义多个 bean 来覆盖自动配置。

以下组件可以定义为 Bean 以覆盖 Spring Authorization Server 的自动配置：

提示

Spring Boot 自动配置了一个 InMemoryRegisteredClientRepository，它被 Spring Authorization Server 用于管理已注册的客户端。InMemoryRegisteredClientRepository 功能有限，我们建议仅在开发环境中使用它。对于生产环境，请考虑使用 JdbcRegisteredClientRepository 或创建你自己的 RegisteredClientRepository 实现。

更多信息可以在 Spring Authorization Server 参考指南 的 入门 章节中找到。

SAML 2.0​

依赖方​

如果在类路径上有 spring-security-saml2-service-provider，你可以利用一些自动配置来设置一个 SAML 2.0 依赖方。此配置使用了 Saml2RelyingPartyProperties 下的属性。

一个依赖方注册代表了身份提供商（Identity Provider, IDP）和服务提供商（Service Provider, SP）之间的配对配置。你可以在 spring.security.saml2.relyingparty 前缀下注册多个依赖方，如下例所示：

spring.security.saml2.relyingparty.registration.my-relying-party1.signing.credentials[0].private-key-location=path-to-private-key
spring.security.saml2.relyingparty.registration.my-relying-party1.signing.credentials[0].certificate-location=path-to-certificate
spring.security.saml2.relyingparty.registration.my-relying-party1.decryption.credentials[0].private-key-location=path-to-private-key
spring.security.saml2.relyingparty.registration.my-relying-party1.decryption.credentials[0].certificate-location=path-to-certificate
spring.security.saml2.relyingparty.registration.my-relying-party1.singlelogout.url=https://myapp/logout/saml2/slo
spring.security.saml2.relyingparty.registration.my-relying-party1.singlelogout.response-url=https://remoteidp2.slo.url
spring.security.saml2.relyingparty.registration.my-relying-party1.singlelogout.binding=POST
spring.security.saml2.relyingparty.registration.my-relying-party1.assertingparty.verification.credentials[0].certificate-location=path-to-verification-cert
spring.security.saml2.relyingparty.registration.my-relying-party1.assertingparty.entity-id=remote-idp-entity-id1
spring.security.saml2.relyingparty.registration.my-relying-party1.assertingparty.sso-url=https://remoteidp1.sso.url
spring.security.saml2.relyingparty.registration.my-relying-party2.signing.credentials[0].private-key-location=path-to-private-key
spring.security.saml2.relyingparty.registration.my-relying-party2.signing.credentials[0].certificate-location=path-to-certificate
spring.security.saml2.relyingparty.registration.my-relying-party2.decryption.credentials[0].private-key-location=path-to-private-key
spring.security.saml2.relyingparty.registration.my-relying-party2.decryption.credentials[0].certificate-location=path-to-certificate
spring.security.saml2.relyingparty.registration.my-relying-party2.assertingparty.verification.credentials[0].certificate-location=path-to-other-verification-cert
spring.security.saml2.relyingparty.registration.my-relying-party2.assertingparty.entity-id=remote-idp-entity-id2
spring.security.saml2.relyingparty.registration.my-relying-party2.assertingparty.sso-url=https://remoteidp2.sso.url
spring.security.saml2.relyingparty.registration.my-relying-party2.assertingparty.singlelogout.url=https://remoteidp2.slo.url
spring.security.saml2.relyingparty.registration.my-relying-party2.assertingparty.singlelogout.response-url=https://myapp/logout/saml2/slo
spring.security.saml2.relyingparty.registration.my-relying-party2.assertingparty.singlelogout.binding=POST
properties

对于 SAML2 注销，默认情况下，Spring Security 的 Saml2LogoutRequestFilter 和 Saml2LogoutResponseFilter 仅处理匹配 /logout/saml2/slo 的 URL。如果你想自定义 AP 发起的注销请求发送到的 url 或 AP 发送注销响应到的 response-url，以使用不同的模式，你需要提供配置来处理该自定义模式。例如，对于 servlet 应用程序，你可以添加类似于以下的自定义 SecurityFilterChain：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

import static org.springframework.security.config.Customizer.withDefaults;

@Configuration(proxyBeanMethods = false)
public class MySamlRelyingPartyConfiguration {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests((requests) -> requests.anyRequest().authenticated());
        http.saml2Login(withDefaults());
        http.saml2Logout((saml2) -> saml2.logoutRequest((request) -> request.logoutUrl("/SLOService.saml2"))
            .logoutResponse((response) -> response.logoutUrl("/SLOService.saml2")));
        return http.build();
    }

}
java