Spring Security 基础

这一课你将能做到

1. 解释过滤器链、认证（Authentication）与授权（Authorization）三个核心概念的关系
2. 自定义 SecurityFilterChain：放行公开接口、拦截受保护接口、按角色控制访问
3. 使用 BCryptPasswordEncoder 存储密码，并解释「为什么不能明文存密码」

为什么要学

到目前为止你写的接口是「裸奔」的：任何人知道 URL 就能查、能删。真实系统必须有门卫——你是谁（认证）、你能干什么（授权）。本站的登录、按用户隔离的刷题记录、管理后台权限，全部建立在这套机制上。

Spring Security 是 Servlet 过滤器链 + Spring 容器的结合体：一组按序执行的过滤器，每个管一件事（解析 token、检查权限、处理异常……）。它以「默认全锁死」著称——第一次加上依赖，所有接口突然 401，很多人当场懵掉。这一课的目标就是把「默认行为」和「自定义方法」都拆开看清。

先建立图像

HTTP 请求
  ↓
┌─ Security 过滤器链（按序执行，任何一个不放行就到此为止）─┐
│  SecurityContextPersistenceFilter  恢复/保存登录状态    │
│  UsernamePasswordAuthenticationFilter  处理表单登录     │
│  ExceptionTranslationFilter      把后面的异常翻译成 401/403 │
│  FilterSecurityInterceptor  ★ 授权裁决：这个 URL 你能进吗 │
└──────────────────────────────────────────────────────┘
  ↓ 全部通过
你的 Controller

两个核心概念第一次分清：

概念	回答的问题	例子
认证 Authentication	你是谁？	账号密码登录、JWT 校验
授权 Authorization	你能干什么？	普通用户不能删别人的任务，ADMIN 可以
主体 Principal	认证后的身份对象	用户名、用户 ID、角色集合

登录成功后，认证信息存进 SecurityContextHolder（本质是 ThreadLocal，请求线程内随处可取），后续过滤器据此裁决。

跟着做

步骤 1：先体验「默认全锁死」

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

只加依赖不加任何配置，重启后访问 /api/tasks：

{ "status": 401, "error": "Unauthorized" }

同时启动日志出现一行随机密码：

Using generated security password: 7a3f9e2b-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Boot 自动配置了一个用户名 user、密码为随机串的账号，并且默认拦截所有请求、启用表单登录页。访问任意接口会先跳到登录表单——这就是「默认安全」：宁可全锁，不可漏放。接下来把它改成 API 服务的样子。

步骤 2：第一个自定义 SecurityFilterChain

Spring Security 6（Boot 3 配套）的写法是声明一个 SecurityFilterChain Bean：

package com.example.taskflow.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.Customizer;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                    .requestMatchers("/api/hello", "/actuator/health").permitAll()
                    .anyRequest().authenticated())          // 其余都要登录
            .httpBasic(Customizer.withDefaults());          // 先用 HTTP Basic 体验
        return http.build();
    }
}