从初学者到资深：Spring Security 6.0 中 WebSecurityConfigurerAdapter 的替代方案

2023-08-19 13:40:10

Spring Security 6.0：自定义配置指南

简介

Spring Security 已成为 Java 开发人员保护应用程序安全性的首选框架。随着 Spring Security 6.0 的发布，弃用了 WebSecurityConfigurerAdapter 类，为开发者带来了挑战。本指南旨在帮助开发者轻松掌握新的自定义配置方式，确保应用程序的安全。

1. 了解旧配置与新配置的差异

在旧版 Spring Security 中，开发者需要继承 WebSecurityConfigurerAdapter 类，并重写其 configure(HttpSecurity http) 方法进行自定义配置。而在 Spring Security 6.0 中，开发者需要实现 SecurityFilterChain 接口，并重写其 configure(HttpSecurity http) 方法进行自定义配置。

2. 创建新的 SecurityFilterChain Bean

在 Spring Security 6.0 中，开发者需要通过实现 SecurityFilterChain 接口来创建一个新的 SecurityFilterChain Bean。然后在 @Configuration 注解的类中使用 @Bean 注解进行注册。

代码示例：

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) {
        return http.authorizeRequests()
                // ... 继续进行自定义配置
                .build();
    }
}

3. 注册新的 SecurityFilterChain Bean

在 Spring Boot 项目中，开发者可以通过 addFilterBefore 方法在主程序类中注册新的 SecurityFilterChain Bean。

代码示例：

public class SpringSecurityDemoApplication {
    public static void main(String[] args) {
        SpringApplication.run(SpringSecurityDemoApplication.class, args);
    }

    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -> web.addFilterBefore(new SecurityFilterChain(filterChain(http)), BasicAuthenticationFilter.class);
    }
}

4. 自定义认证和授权

开发者可以通过重写 configure(HttpSecurity http) 方法来实现自定义认证和授权。

代码示例：

public SecurityFilterChain filterChain(HttpSecurity http) {
    return http.authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasRole("USER")
                .antMatchers("/**").permitAll()
                .and().formLogin().loginPage("/login").permitAll()
                .and().logout().logoutUrl("/logout").permitAll()
                .and().build();
}