构建安全的RESTful API：Spring Boot与Spring Security实战

最新推荐文章于 2026-03-04 13:05:42 发布

原创最新推荐文章于 2026-03-04 13:05:42 发布 · 549 阅读

17 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

标签

#Spring Boot #Spring Security #RESTful API #Java

Java 专栏收录该内容

873 篇文章

订阅专栏

构建安全的RESTful API：Spring Boot与Spring Security实战

引言

在现代Web开发中，RESTful API已成为前后端分离架构的核心。然而，API的安全性往往容易被忽视。本文将介绍如何利用Spring Boot和Spring Security构建一个安全的RESTful API，涵盖从基础配置到高级安全特性的实现。

1. Spring Boot与Spring Security简介

1.1 Spring Boot

Spring Boot是一个基于Spring框架的快速开发框架，通过自动配置和约定优于配置的原则，简化了Spring应用的开发和部署。

1.2 Spring Security

Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架，专为Java应用程序设计。它提供了全面的安全服务，包括身份验证、授权、攻击防护等。

2. 项目初始化

2.1 创建Spring Boot项目

使用Spring Initializr（https://start.spring.io/）创建一个新的Spring Boot项目，选择以下依赖：

Spring Web
Spring Security
Lombok（可选）

2.2 项目结构

项目的基本结构如下：

src/
  main/
    java/
      com/example/demo/
        config/
          SecurityConfig.java
        controller/
          ApiController.java
        model/
          User.java
        repository/
          UserRepository.java
        service/
          UserService.java
    resources/
      application.properties

3. 配置Spring Security

3.1 基础配置

在SecurityConfig.java中，通过继承WebSecurityConfigurerAdapter来配置安全规则：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .httpBasic();
    }
}

3.2 自定义用户认证

通过实现UserDetailsService接口，可以自定义用户认证逻辑：

@Service
public class UserService implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found");
        }
        return new org.springframework.security.core.userdetails.User(
            user.getUsername(),
            user.getPassword(),
            Collections.emptyList()
        );
    }
}

4. 实现RESTful API

4.1 创建控制器

在ApiController.java中，定义一些简单的API：

@RestController
@RequestMapping("/api")
public class ApiController {
    @GetMapping("/public/hello")
    public String publicHello() {
        return "Hello, Public!";
    }

    @GetMapping("/private/hello")
    public String privateHello() {
        return "Hello, Private!";
    }
}