写在前面

我们在学习技术的过程中，学习的渠道大概有以下几种：看书，视频，博客。我们会发现，一种技术开始流行的时候，各种形式的讲述也就出现了。那么，出书，录视频，写博客的人，在他们之前，是没有什么现成的东西让他们学习的，他们是怎么上手的呢？换句话说，怎么才能有效的快速的上手一门技术呢？

这篇文章，我们一起从零开始学习Spring?Security，技术点不重要，重要的是学习方式。

说来惭愧，在写这个专栏之前，我并没有学习过Spring?Security。这也是我写博客的一次新的尝试。

目标

这篇文章的目标是实现简单的登录，退出功能。展示从一无所知，到使用这个技术处理简单需求的全过程。

开始

我们知道，Spring的社区支持特别完善，Spring?全家桶的文档特别好，那么我们话不多说，打开Spring Security 官网?看一下。

?看完这个图片我们明白了，得创建一个Spring?Boot?工程，构建工具我们选择常用的maven，然后引入Spring?Security?的starter即可，当然为了测试引入Spring?Security之后访问接口的变化，我们要引入web的starter，就像是Spring?Boot?入门时候一样

不引入Spring Security?访问接口

创建Spring?Boot?工程，这个太简单了，不过多赘述

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.7.3</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.nightcat</groupId>
    <artifactId>security</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>security</name>
    <description>Demo project for Spring Boot</description>
    <properties>
        <java.version>1.8</java.version>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-test</artifactId>
            <scope>test</scope>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

</project>

package com.nightcat.security.controller;

import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class HelloController {
    @RequestMapping("/hello")
    public String hello() {
        return "hello Security";
    }
}

把项目启动起来，之后输入localhost:8080/hello,就会看到浏览器显示hello?Security。

引入Spring Security?访问接口

其实所有的安全管理框架，需要解决的就是两件事，认证和鉴权，认证是判断用户是不是当前系统的用户，不是就不让他用系统，鉴权简单理解就是，有权限访问系统的哪些部分，比如有些功能你要登录之后才能用，有些功能是内部人员可用，即根据角色分配权限，根据权限分配可用范围。

<dependency>
   <groupId>org.springframework.boot</groupId>
   <artifactId>spring-boot-starter-security</artifactId>
</dependency>

加入Spring?Security?依赖。

这个时候，如果再访问 hello?接口，就会出现一个页面，让咱们登录。

?可是到目前为止，我们根本不知道用户名和密码，更不知道这个页面从哪来的，我们目前的项目里，没有自己写任何页面。没办法，继续看文档。

??我们的工程是Servlet工程，看看文档是怎么写的。

?在快速上手章节有一个?Spring Boot Auto Configuration,文档写的非常明白，主要做了三件事

①?创建了一个?SpringSecurityFilterChain?

②?创建了一个?UserDetailsService，用户名是?user ，一个随机的密码是在控制台打印出来了。

③?把 SpringSecurityFilterChain，注册到Web?容器里，每个请求都经过它

好了，看到第二条，我们就能登录了。??

?文档中提到了，每次随机生成一个密码供用户登录使用，我们先来看看那个密码长什么样子：

Using generated security password: caab29d4-b177-4fa7-85e2-f23a1f6246cf

这个密码显然不是我们想要的，总不能每次启动项目，都生成一个新的密码，而且用户名也不可能都叫做user，我们希望能自己定制用户名和密码。我们现在并不知道该怎么做。继续读文档。

我们来看看Spring?Security?给我们提供的例子：Spring Security 例子

?我们看到了，Spring?Security?提供的例子，有199次提交，我们找到最开始的几次提交记录。看看它都做了什么。

找到了

?那我们照葫芦画瓢，把中间的用户名和密码改一下，然后登录。

package com.nightcat.security.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;

@Configuration
@EnableWebSecurity
public class SecurityConfiguration {

    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails user = User.withDefaultPasswordEncoder()
                .username("zhangsan")
                .password("123")
                .roles("USER")
                .build();
        return new InMemoryUserDetailsManager(user);
    }

}

好了，剩下的东西我们先本着不求甚解，一步步来的原则，先看看zhangsan/123?能不能登录。

我这里直接给结论吧，不再截图，是可以登录的，并且每次都是这个用户名和密码。