spring-boot-starter-security安装

### 如何在Spring Boot项目中添加和配置`spring-boot-starter-security`

#### 添加依赖

为了使Spring Security能够在Spring Boot应用程序中工作，需要向项目的构建文件（Maven的pom.xml或Gradle的build.gradle）中加入`spring-boot-starter-security`依赖。

对于Maven项目，在`<dependencies>`标签内增加如下内容：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

而对于采用Gradle作为构建工具的情况，则应在`dependencies`闭包里加上这行代码[^1]：

implementation 'org.springframework.boot:spring-boot-starter-security'

一旦完成了上述操作，执行相应的命令刷新项目以下载所需的库文件。此时，Spring Security的基础安全特性已经被激活，并会对所有的HTTP请求实施访问控制[^2]。

#### 默认行为与自定义配置

默认情况下，当引入了`spring-boot-starter-security`之后，框架会自动创建一个用户名为"user"的账户，密码会在应用启动时随机生成并通过日志输出显示出来。如果希望更改这种默认的行为或者进一步调整安全性策略，可以通过实现WebSecurityConfigurerAdapter类来自定义配置逻辑，尽管官方建议直接使用`SecurityFilterChain` bean的方式来进行更灵活的安全设定[^3]。

下面是一个简单的例子展示如何通过Java Config方式覆盖默认设置：

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;

public class SecurityConfig {

@Bean
public UserDetailsService userDetailsService() {
    var manager = new InMemoryUserDetailsManager();
    var encoder = passwordEncoder();

    // 创建两个用户："user"(ROLE_USER), "admin"(ROLE_ADMIN)
    manager.createUser(User.withUsername("user").password(encoder.encode("password")).roles("USER").build());
    manager.createUser(User.withUsername("admin").password(encoder.encode("secret")).roles("ADMIN", "USER").build());

    return manager;
}

@Bean
public PasswordEncoder passwordEncoder(){
    return new BCryptPasswordEncoder();
}

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/","/home").permitAll()//允许所有人访问首页和主页
        .anyRequest().authenticated();//其余所有URL都需要认证才能访问
    
    http.formLogin(); //启用表单登录，默认页面位于/login
    http.logout().logoutSuccessUrl("/"); //登出成功后跳转到根目录

    return http.build();
}

这段代码片段展示了如何定义内存中的用户详情服务、加密算法以及基本的身份验证流程规则。请注意实际生产环境中应当更加严格地管理凭证存储和服务端点权限分配等问题[^4]。