《Spring Security笔记》是一份关于Spring Security框架的学习资料，涵盖了用户认证、授权及安全配置等核心内容。
【Spring Security 概述】
Spring Security 是一个强大的、高度可定制的框架，专门用于为基于 Spring 的企业级应用程序提供安全访问控制支持。它利用了 Spring 核心特性如 Inversion of Control (IoC) 和 Dependency Injection (DI)，结合 Aspect-Oriented Programming (AOP)，简化安全配置，并通过声明式安全控制减少重复的安全代码编写工作。
**安全访问控制 —— 认证与授权**
1. **认证**：即登录，用于验证用户身份。例如，使用用户名和密码进行系统登录。Spring Security 支持多种认证方式，包括传统的用户名/密码、二维码、短信以及生物识别等手段以确保只有合法的用户可以进入受保护的应用。
2. **会话管理**：在成功完成认证后，为了方便用户的操作体验，通常会在服务器端维持其登录状态，这可以通过两种主要机制实现：
- **基于 Session 的认证**：当用户通过验证时，服务器保存关于该用户的会话信息，并将一个唯一的Session ID返回给客户端存储于Cookie中。每次请求都携带这个ID进行身份确认。这种方式要求在服务端持久化会话数据并依赖客户端支持Cookies。
- **基于 Token 的认证**：完成登录后，由服务端生成Token发送至用户端保存起来，在后续的每个请求中附带此Token以供验证服务器的身份识别使用。这种机制适合于分布式系统和前后端分离架构的应用场景，因为不需要在服务端存储大量的会话信息，并且客户端可以灵活地选择多种方式来管理这些Tokens。
3. **授权**：即权限控制，在认证的基础上进一步细化用户对资源的操作限制。它定义了哪些主体（Subject）能够执行什么类型的访问操作（Permission），比如查看、编辑或删除特定数据等行为。通常通过角色基础的权限控制系统 (RBAC) 来实现这一功能。
**RBAC（Role-Based Access Control，基于角色的访问控制模型）**
该模型包括以下关键组成部分：
- **用户表**：记录所有用户的详细信息。
- **角色表**：定义不同类型的系统角色如管理员、普通用户等。
- **权限表**：列出所有的操作权限项。
- **用户与角色关系表**：表示每个账户可以扮演的角色集合，即链接了具体账号和其所属的全部角色。
- **角色与权限关联表**：描述特定角色所拥有的所有访问权利。
通过RBAC模型，可以根据用户的职位或职责为其分配相应的系统操作权限，从而简化管理流程并提升系统的安全性水平。
**Spring Security 入门**
1. **创建项目结构**：首先构建一个父级工程（例如 Spring-Security），然后在其内部建立子模块以组织各个组件。
2. **搭建 Spring Boot 工程环境**：在上述的父工程项目中添加一个新的 Spring Boot 子模块，并配置 pom.xml 文件引入必要的Spring Security相关依赖库。
3. **设置安全规则**：使用 Java 或 XML 配置来定义认证和授权策略，例如自定义过滤器链、登录页面及权限检查等机制。
4. **实现用户验证功能**：根据具体需求选择合适的认证方式。可以采用 Spring Security 内建的 UsernamePasswordAuthenticationFilter 来处理用户名密码形式的身份确认流程；或者集成OAuth2或JWT这类现代身份验证方案。
5. **配置访问控制策略**：通过定义角色和权限之间的关系，并利用 `@PreAuthorize`、`@Secured` 等注解实现细粒度的资源访问限制管理。
6. **异常处理机制**：设置 Spring Security 的错误响应规则，确保在身份验证或授权失败时能够返回恰当的信息提示。
7. **测试与调试**：编写单元和集成测试用例来检查认证及权限控制功能是否如预期地工作，并进行必要的调整优化以适应实际部署环境的需求。
5星
