SpringSecurity实战教程（四）基于内存的用户认证

1. 前言#

又是新的一周，博主继续来给大家更新Spring Security实战教程。在上一个章节中我们详细介绍了Spring Security的底层原理，本章节博主将带着大家介绍如何在Spring Security中实现基于内存的用户认证。

虽然Spring Security基于内存的用户认证在实际开发中相对来说用得比较少，但在某些场景下（如：开发阶段、原型验证、演示环境搭建、单元测试/集成测试，或甚至不需要数据库的简单系统），基于内存的用户认证方式就足以满足需求。为了应对这样的需求，博主觉得还是有必要聊一聊基于内存的用户认证。

2. 为何选择内存认证？#

就如前面说的场景，总结内存认证主要有以下几个优点：

简单快捷：配置简单，不需要依赖数据库或外部存储，适用于快速构建和测试。
易于调试：所有用户信息存储在代码中，方便开发过程中快速定位问题。
适用于小型应用：对于用户数量较少的应用或者临时验证原型，内存认证是个不错的选择。

当然，内存认证也有局限性：用户数据不持久化、无法扩展到分布式系统等。因此，在生产环境中，通常会采用基于数据库或其他外部认证机制的方式。

与数据库认证对比#

特性	内存认证	数据库认证
用户存储位置	应用内存	持久化存储
用户管理灵活性	配置硬编码	动态增删改查
生产环境适用性	不推荐	推荐

3. 基础配置实战#

接下来在之前的Maven项目中创建第三个子模块memory-spring-security，完整的Maven项目结构如下：

❶ 创建Spring Security配置文件#

现在我们来创建一个Spring Security配置文件InMemorySecurityConfig：

1
@Configuration
2
public class InMemorySecurityConfig {
3

4
    // 手动配置用户信息
5
    @Bean
6
    public UserDetailsService users() {
7
        UserDetails user = User.withUsername("user")
8
                .password("{noop}user") // {noop}表示不加密
9
                .roles("USER")
10
                .build();
11

12
        UserDetails admin = User.withUsername("admin")
13
                .password("{noop}admin")
14
                .roles("ADMIN")
15
                .build();
16
        // 可以继续追加其它用户...
17
        UserDetails anonymous = User.withUsername("anonymous")
18
                .password("{noop}anonymous")
19
                .roles("ANONYMOUS")
20
                .build();
21

22
        return new InMemoryUserDetailsManager(user, admin, anonymous);
23
    }
24

25
    // 配置安全策略，并配置/admin/**只允许ADMIN角色用户访问
26
    @Bean
27
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
28
        http
29
            .authorizeHttpRequests(authorize -> authorize
30
                .requestMatchers("/admin/**").hasRole("ADMIN")
31
                .anyRequest().authenticated()
32
            )
33
            .formLogin(withDefaults())
34
            .logout(withDefaults());
35
        return http.build();
36
    }
37
}

配置说明

构建UserDetailsService
创建三个用户信息：admin、user、anonymous，并由InMemoryUserDetailsManager在内存中保存用户数据。
SecurityFilterChain
在SecurityFilterChain中，默认采用了Spring Security表单登录登出方式，并配置/admin/**请求路径下需要管理员角色方可访问。

❷ 创建Controller测试#

接下来创建用以测试的Controller：DemoMemoryController：

1
@Controller
2
public class DemoMemoryController {
3

4
    // 返回用户信息及角色权限
5
    @GetMapping("/")
6
    public ResponseEntity<Map<String, Object>> index(Authentication authentication) {
7

8
        String username = authentication.getName(); // 用户名
9
        Object principal = authentication.getPrincipal(); // 身份
10

11
        // 获取用户拥有的权限列表
12
        List<String> roles = authentication.getAuthorities().stream()
13
                .map(GrantedAuthority::getAuthority)
14
                .collect(Collectors.toList());
15

16
        // 返回用户信息
17
        return ResponseEntity.ok(Map.of(
18
                "username", username,
19
                "principal", principal,
20
                "roles", roles));
21
    }
22

23
    // 测试管理员权限
24
    @GetMapping("/admin/view")
25
    public ResponseEntity<String> admin() {
26
        return ResponseEntity.ok("管理员ADMIN角色访问ok");
27
    }
28
}

代码说明

注入Authentication对象
在index方法中，通过方法参数直接注入Authentication对象，Spring Security会自动传入当前认证信息。
提取用户信息
通过authentication.getName()获取当前登录用户的用户名；通过authentication.getAuthorities()获取用户的权限列表，并将每个权限的getAuthority()值收集成一个字符串列表。

❸ 运行测试#

启动项目访问登录页，分别测试两个用户登录查看信息，如user用户：

接下来尝试使用user用户访问/admin/view路径，会出现403访问错误提示：即您无权访问此地址：

切换admin用户登录，继续访问/admin/view路径，出现管理员ADMIN角色访问ok文字显示，即代表管理员角色允许访问：

4. 追加密码编码器#

在上述代码中，我们使用了password("{noop}admin")声明密码明文存储。如果我们需要对密码加密，如何操作？实际上Spring Security为我们提供了非常方便的密码编码器。

密码编码器配置#

只需要创建PasswordEncoder Bean，并返回加密类型，如下代码样例：

1
@Bean
2
public PasswordEncoder passwordEncoder() {
3
    return new BCryptPasswordEncoder();
4
}
5

6
@Bean
7
public UserDetailsService users(PasswordEncoder encoder) {
8
    UserDetails user = User.builder()
9
            .username("user")
10
            .password(encoder.encode("secret"))
11
            .roles("USER")
12
            .build();
13

14
    return new InMemoryUserDetailsManager(user);
15
}

支持的编码格式#

1
# 不同前缀对应不同编码器
2
{noop}    → NoOpPasswordEncoder (明文)
3
{bcrypt}  → BCryptPasswordEncoder
4
{pbkdf2}  → Pbkdf2PasswordEncoder
5
{scrypt}  → SCryptPasswordEncoder
6
{sha256}  → StandardPasswordEncoder

5. 总结#

通过本章节的配置示例，相信你已经可以使用Spring Security的基于内存认证方式来快速搭建安全认证体系。

注意本章节中提到的基于内存的用户认证适用的场景，更多情况下还是建议使用更为健全的认证方式，如基于数据库的认证、JWT令牌认证或OAuth2。在下一章节我们将重点讲述数据库的认证，敬请期待…

音乐

音乐