Spring Security 基于内存的身份验证配置实践
在 Spring Security 架构中，用户凭证的来源具有高度灵活性，既可以是外部持久化存储如数据库、LDAP，也可以是临时的内存数据。无论底层实现如何，最终都会被抽象为 UserDetailsService 接口的具体实例，以此统一处理认证请求。
针对开发测试场景，以下详细说明三种构建内存用户数据源的实现路径：
一、框架自动生成的临时凭证
在未显式定义安全配置且启用 Spring Security 的情况下，框架会处于一种保护模式。每次应用启动时，控制台将打印一组随机的访问令牌。通常用户名固定为 user，而密码则为系统随机生成的 UUID 格式字符串，需手动复制以完成登录。
二、通过配置文件指定凭据
为了便于调试，开发者可以通过外部化配置文件直接固化账号密码，避免每次重启都依赖随机码。在 application.properties 或 YAML 文件中添加相应键值对即可生效。
# 自定义内存用户标识
security.user.name=developer
security.user.password=test@2024上述配置生效后，控制台将不再输出随机密码，系统默认接受指定的账号组合进行登录。
三、Java 代码动态配置（两种模式）
对于需要精细控制用户角色和权限的场景，推荐直接使用 Java 注解进行配置。以下是两种常用的编程式实现方案。
3.1 使用 UserDetailsManager 构建服务
此方式通过创建一个 InMemoryUserDetailsManager 的 Bean 来接管用户管理。我们可以通过构造函数一次性注入所有用户信息，这种方式相比逐个创建更为简洁。
package com.example.auth.config;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
@Configuration
public class AuthDataConfig {
@Bean
public UserDetailsService loadMemoryUsers() {
// 构建用户列表并传递给构造函数
return new InMemoryUserDetailsManager(
User.builder()
.username("sysAdmin")
.password("{noop}888888") // 使用简单标记，实际生产建议加密
.roles("ADMIN", "MANAGER")
.build(),
User.builder()
.username("visitor")
.password("{noop}guest_pass")
.roles("GUEST")
.build()
);
}
}3.2 基于 AuthenticationManagerBuilder 配置
另一种方式是继承标准的安全配置适配器，利用 AuthenticationManagerBuilder 链式调用方法定义内存用户。这种方式更适合与过滤链配置结合。
package com.example.web.security;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.configuration.AuthenticationConfiguration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityCustomizer;
import org.springframework.security.crypto.factory.PasswordEncoderFactories;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
@Configuration
@EnableWebSecurity
public class WebAuthInitializer {
@Bean
public PasswordEncoder encoder() {
// 此处示例使用无加密模式以便演示，实际应使用 BCrypt
return PasswordEncoderFactories.createDelegatingPasswordEncoder();
}
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
.formLogin(Customizers.withDefaults());
// 显式声明 AuthenticationManager
http.authenticationProvider(getAuthProvider(encoder()));
return http.build();
}
private InMemoryUserDetailsManager getAuthProvider(PasswordEncoder enc) {
InMemoryUserDetailsManager detailsMgr = new InMemoryUserDetailsManager();
detailsMgr.createUser(org.springframework.security.core.userdetails.User
.withUsername("editor")
.password(enc.encode("securePwd"))
.roles("EDITOR")
.build());
return detailsMgr;
}
}