Spring Security是一个根据Spring结构的安全结构，它供给了一系列的安全服务和功用，包含身份验证、授权、进犯防护等。在Spring Boot结构中，Spring Security是一个十分重要的组件，它能够协助咱们完成应用程序的安全性。

本文将详细介绍Spring Security在Spring Boot结构中的运用，包含怎么装备Spring Security、怎么完成身份验证和授权、怎么避免进犯等。一起，将运用相关代码辅佐介绍，以便更好地了解Spring Security的运用。

一、Spring Security的装备

在Spring Boot结构中，咱们能够经过增加依靠来运用Spring Security。在pom.xml文件中增加以下依靠：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

增加依靠后，咱们需求装备Spring Security。在Spring Boot结构中，咱们能够经过创建一个承继自WebSecurityConfigurerAdapter的装备类来装备Spring Security。以下是一个简单的装备类示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .logout()
            .logoutSuccessUrl("/login");
    }
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("admin").password("{noop}admin").roles("ADMIN")
            .and()
            .withUser("user").password("{noop}user").roles("USER");
    }
}

在上面的装备类中，咱们运用了@EnableWebSecurity注解来启用Spring Security。configure(HttpSecurity http)办法用于装备HTTP恳求的安全性，咱们能够经过它来界说哪些恳求需求身份验证、哪些恳求需求特定的人物等。在上面的示例中，咱们界说了/admin/** 恳求需求ADMIN人物，/user/** 恳求需求ADMIN或USER人物，其他恳求需求身份验证。formLogin()办法用于启用表单登录，logout()办法用于启用刊出功用。configureGlobal(AuthenticationManagerBuilder auth)办法用于装备身份验证，咱们能够经过它来界说用户和人物。在上面的示例中，咱们界说了两个用户admin和user，admin用户具有ADMIN人物，user用户具有USER人物。

二、身份验证和授权

在Spring Security中，身份验证和授权是两个十分重要的概念。身份验证是指验证用户的身份是否合法，授权是指授予用户特定的权限。在Spring Boot结构中，咱们能够经过以下办法完成身份验证和授权：

1、根据内存的身份验证和授权

在上面的装备类示例中，咱们运用了根据内存的身份验证和授权。这种办法十分合适小型应用程序，但对于大型应用程序来说，咱们需求运用其他的身份验证和授权办法。

2、根据数据库的身份验证和授权

在Spring Boot结构中，咱们能够运用JDBC或JPA来完成根据数据库的身份验证和授权。以下是一个运用JDBC完成身份验证和授权的示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private DataSource dataSource;
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.jdbcAuthentication()
            .dataSource(dataSource)
            .usersByUsernameQuery("select username, password, enabled from users where username=?")
            .authoritiesByUsernameQuery("select username, authority from authorities where username=?");
    }
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .logout()
            .logoutSuccessUrl("/login");
    }
}

在上面的示例中，咱们运用了JDBC来完成身份验证和授权。咱们经过dataSource()办法来指定数据源，经过usersByUsernameQuery()办法和authoritiesByUsernameQuery()办法来指定查询用户和人物的SQL句子。

3、根据LDAP的身份验证和授权

在Spring Boot结构中，咱们能够运用LDAP来完成根据LDAP的身份验证和授权。以下是一个运用LDAP完成身份验证和授权的示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.ldapAuthentication()
            .userDnPatterns("uid={0},ou=people")
            .groupSearchBase("ou=groups")
            .contextSource()
            .url("ldap://localhost:389/dc=springframework,dc=org")
            .and()
            .passwordCompare()
            .passwordEncoder(new BCryptPasswordEncoder())
            .passwordAttribute("userPassword");
    }
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .logout()
            .logoutSuccessUrl("/login");
    }
}

在上面的示例中，咱们运用了LDAP来完成身份验证和授权。咱们经过userDnPatterns()办法和groupSearchBase()办法来指定用户和人物的查找途径，经过contextSource()办法来指定LDAP服务器的URL。passwordCompare()办法用于指定暗码比较器和暗码属性。

三、避免进犯

在Web应用程序中，进犯是一个十分常见的问题。Spring Security供给了一系列的功用来避免进犯，包含CSRF进犯、XSS进犯、SQL注入进犯等。在Spring Boot结构中，咱们能够经过以下办法来避免进犯：

1、避免CSRF进犯

在Spring Security中，咱们能够经过启用CSRF维护来避免CSRF进犯。在Spring Boot结构中，咱们能够经过以下办法启用CSRF维护：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
    }
}

在上面的示例中，咱们运用了csrf()办法来启用CSRF维护，运用了csrfTokenRepository()办法来指定CSRF令牌的存储办法。

2、避免XSS进犯

在Spring Security中，咱们能够经过启用X-XSS-Protection来避免XSS进犯。在Spring Boot结构中，咱们能够经过以下办法启用X-XSS-Protection：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers().xssProtection().block(false);
    }
}

在上面的示例中，咱们运用了headers()办法来启用X-XSS-Protection，运用了xssProtection()办法来指定X-XSS-Protection的值。

3、避免SQL注入进犯

在Spring Security中，咱们能够经过运用预编译句子和参数化查询来避免SQL注入进犯。在Spring Boot结构中，咱们能够经过运用JPA或MyBatis等ORM结构来完成预编译句子和参数化查询。

四、总结

本文详细介绍了Spring Security在Spring Boot结构中的运用，包含怎么装备Spring Security、怎么完成身份验证和授权、怎么避免进犯等。一起，咱们运用了相关代码辅佐介绍，以便更好地了解Spring Security的运用。Spring Security是一个十分重要的安全结构，它能够协助咱们完成应用程序的安全性，维护用户的隐私和数据安全。