在开发后端API时，安全性是一个非常重要的考量因素。我们需要确保只有经过身份验证和授权的用户才能访问我们的API，并对不同角色的用户实施不同的访问控制策略。而Spring Security框架可以帮助我们轻松实现这些功能。
Spring Security简介
Spring Security是一个基于Java的框架，用于在应用程序中实施身份验证和授权。它提供了一套功能强大的API，可用于保护我们的应用程序免受各种安全威胁，如身份盗窃、会话劫持和跨站点请求伪造（CSRF）等。
Spring Security提供了一种声明式的方式来配置访问控制规则，我们可以通过简单的配置就可以定义哪些URL和HTTP方法需要受到保护，哪些角色或权限可以访问它们。
使用Spring Security保护API
首先，我们需要添加Spring Security的依赖到我们的项目中：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
然后，我们需要创建一个配置类来配置Spring Security：
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable() // 禁用CSRF保护
.authorizeRequests()
.antMatchers("/api/public/**").permitAll() // 允许所有用户访问公开的API
.anyRequest().authenticated() // 其他API需要身份验证
.and()
.httpBasic();
}
@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
auth.inMemoryAuthentication()
.withUser("user").password("{noop}password").roles("USER")
.and()
.withUser("admin").password("{noop}password").roles("ADMIN");
}
}
在上面的配置中，我们关闭了CSRF保护，这是因为在使用API时，我们通常不使用表单提交，所以CSRF保护是没有必要的。然后，我们使用antMatchers()方法定义了哪些URL模式是公开的API，不需要身份验证即可访问。
接下来，我们使用anyRequest().authenticated()来指定除了公开的API外，其他API都需要经过身份验证。httpBasic()方法启用了基本的HTTP身份验证。
在configureGlobal()方法中，我们使用inMemoryAuthentication()定义了两个用户：user和admin，并为它们指定了对应的角色。这里我们使用了明文密码存储，并通过{noop}前缀明确告诉Spring Security不使用加密。
在控制器中限制访问
除了使用Spring Security的配置来保护API，我们还可以在控制器中使用注解来限制访问。
@RestController
@RequestMapping("/api/public")
public class PublicController {
@GetMapping
public String publicApi() {
return "Public API";
}
}
在上面的示例中，PublicController类被标记为@RestController，并且所有的请求路径都以/api/public开头。这表示这是一个公开的API，可以被所有用户访问。
另外，我们还可以使用@PreAuthorize注解来限制只有具有特定角色或权限的用户才能调用某个方法。
@RestController
@RequestMapping("/api/private")
public class PrivateController {
@PreAuthorize("hasAuthority('ROLE_ADMIN')")
@GetMapping
public String privateApi() {
return "Private API";
}
}
在上面的示例中，PrivateController类中的privateApi()方法只能被具有ROLE_ADMIN权限的用户访问。
总结
使用Spring Security可以方便地实现后端API的访问控制。我们可以通过简单的配置定义哪些API需要身份验证，哪些API是公开的。同时，还可以在控制器中使用注解来进一步限制访问。
Spring Security还提供了许多其他功能，如记住我身份验证、OAuth认证和多种角色授权等。通过熟练使用Spring Security，我们可以保护我们的应用程序免受各种安全威胁。
本文来自极简博客，作者：紫色风铃姬，转载请注明原文链接：使用Spring Security实现后端API的访问控制
