使用Spring Boot进行安全认证与授权（Spring Security入门）

### 1. 第一章：Spring Security简介
1.1 Spring Security概述
1.2 Spring Security在应用中的作用
1.3 Spring Security与Spring Boot集成
## 第二章：Spring Boot项目中的安全认证

### 2.1 添加Spring Security依赖
### 2.2 配置基本的安全认证
### 2.3 自定义登录页面和认证逻辑
### 第三章：Spring Boot项目中的权限管理

在Spring Boot项目中，权限管理是非常重要的一部分，通过权限管理可以控制用户对系统资源的访问权限，保障系统的安全性。本章将介绍如何在Spring Boot项目中进行权限管理，包括配置基本的角色和权限、使用注解进行方法级的权限控制以及实现基于角色的访问控制。

#### 3.1 配置基本的角色和权限

在Spring Security中，可以通过配置角色（Role）和权限（Permission）来实现精细化的访问控制。首先，我们可以在Spring Security配置中定义一些角色和权限，例如：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public").permitAll()
                .antMatchers("/admin").hasRole("ADMIN")
                .antMatchers("/user").hasRole("USER")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
    
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("admin").password("{noop}admin").roles("ADMIN")
                .and()
                .withUser("user").password("{noop}user").roles("USER");
    }
}

在上面的例子中，我们使用`.hasRole()`来限制访问某些URL的角色，同时在内存中配置了两个用户(admin和user)以及他们的角色。

#### 3.2 使用注解进行方法级的权限控制

在Spring Boot项目中，可以通过注解`@PreAuthorize`和`@Secured`对方法进行权限控制。例如：

@RestController
public class UserController {

    @PreAuthorize("hasRole('ADMIN')")
    @GetMapping("/admin/users")
    public List<User> getAllUsers() {
        // 返回用户列表
    }

    @Secured("ROLE_USER")
    @GetMapping("/user/info")
    public UserInfo getUserInfo() {
        // 返回用户信息
    }
}

上面的例子中，使用了`@PreAuthorize`和`@Secured`注解来限制只有具有特定角色的用户才能访问对应的接口。

#### 3.3 实现基于角色的访问控制

除了使用注解外，我们还可以在代码中手动进行权限控制，例如：

public class ProductService {

    public void addProduct(Product product, Authentication authentication) {
        if (authentication.getAuthorities().stream().anyMatch(a -> a.getAuthority().equals("ROLE_ADMIN"))) {
            // 只有管理员有添加产品的权限