SpringSecurity常见面试题汇总（超详细回答）

妖狐艹你老母 2024-03-27 00:17 65阅读 0赞

#### 1.什么是Spring Security？核心功能？ ####

Spring Security是一个基于Spring框架的安全框架，提供了完整的安全解决方案，包括认证、授权、攻击防护等功能。

其核心功能包括：

*  认证：提供了多种认证方式，如表单认证、HTTP Basic认证、OAuth2认证等，可以与多种身份验证机制集成。
 *  授权：提供了多种授权方式，如角色授权、基于表达式的授权等，可以对应用程序中的不同资源进行授权。
 *  攻击防护：提供了多种防护机制，如跨站点请求伪造（CSRF）防护、注入攻击防护等。
 *  会话管理：提供了会话管理机制，如令牌管理、并发控制等。
 *  监视与管理：提供了监视与管理机制，如访问日志记录、审计等。

Spring Security通过配置安全规则和过滤器链来实现以上功能，可以轻松地为Spring应用程序提供安全性和保护机制。

#### 2.Spring Security的原理? ####

Spring Security是一个基于Spring框架的安全性认证和授权框架，它提供了全面的安全性解决方案，可以保护Web应用程序中的所有关键部分。

Spring Security的核心原理是拦截器（Filter）。Spring Security会在Web应用程序的过滤器链中添加一组自定义的过滤器，这些过滤器可以实现身份验证和授权功能。当用户请求资源时，Spring Security会拦截请求，并使用配置的身份验证机制来验证用户身份。如果身份验证成功，Spring Security会授权用户访问所请求的资源。

![图片][4d6e0c5ead8f5cc2a98485600592a04f.png]

Spring Security的具体工作原理如下：

1.  用户请求Web应用程序的受保护资源。
2.  Spring Security拦截请求，并尝试获取用户的身份验证信息。
3.  如果用户没有经过身份验证，Spring Security将向用户显示一个登录页面，并要求用户提供有效的凭据（用户名和密码）。
4.  一旦用户提供了有效的凭据，Spring Security将验证这些凭据，并创建一个已认证的安全上下文（SecurityContext）对象。
5.  安全上下文对象包含已认证的用户信息，包括用户名、角色和授权信息。
6.  在接下来的请求中，Spring Security将使用已经认证的安全上下文对象来判断用户是否有权访问受保护的资源。
7.  如果用户有权访问资源，Spring Security将允许用户访问资源，否则将返回一个错误信息。

#### 3.有哪些控制请求访问权限的方法？ ####

在Spring Security中，可以使用以下方法来控制请求访问权限：

*  `permitAll()`：允许所有用户访问该请求，不需要进行任何身份验证。
 *  `denyAll()`：拒绝所有用户访问该请求。
 *  `anonymous()`：允许匿名用户访问该请求。
 *  `authenticated()`：要求用户进行身份验证，但是不要求用户具有任何特定的角色。
 *  `hasRole(String role)`：要求用户具有特定的角色才能访问该请求。
 *  `hasAnyRole(String... roles)`：要求用户具有多个角色中的至少一个角色才能访问该请求。
 *  `hasAuthority(String authority)`：要求用户具有特定的权限才能访问该请求。
 *  `hasAnyAuthority(String... authorities)`：要求用户具有多个权限中的至少一个权限才能访问该请求。

可以将这些方法应用于Spring Security的配置类或者在Spring Security注解中使用。

#### 4.hasRole 和 hasAuthority 有区别吗？ ####

在Spring Security中，hasRole和hasAuthority都可以用来控制用户的访问权限，但它们有一些细微的差别。

hasRole方法是基于角色进行访问控制的。它检查用户是否有指定的角色，并且这些角色以"ROLE\_"前缀作为前缀（例如"ROLE\_ADMIN"）。

hasAuthority方法是基于权限进行访问控制的。它检查用户是否有指定的权限，并且这些权限没有前缀。

因此，使用hasRole方法需要在用户的角色名称前添加"ROLE\_"前缀，而使用hasAuthority方法不需要这样做。

例如，假设用户有一个角色为"ADMIN"和一个权限为"VIEW\_REPORTS"，可以使用以下方式控制用户对页面的访问权限：

.antMatchers("/admin/**").hasRole("ADMIN")
    .antMatchers("/reports/**").hasAuthority("VIEW_REPORTS")

在这个例子中，只有具有"ROLE\_ADMIN"角色的用户才能访问/admin/路径下的页面，而具有"VIEW\_REPORTS"权限的用户才能访问/reports/路径下的页面。

#### 5.如何对密码进行加密？ ####

在 Spring Security 中对密码进行加密通常使用的是密码编码器（PasswordEncoder）。PasswordEncoder 的作用是将明文密码加密成密文密码，以便于存储和校验。Spring Security 提供了多种常见的密码编码器，例如 BCryptPasswordEncoder、SCryptPasswordEncoder、StandardPasswordEncoder 等。

以 BCryptPasswordEncoder 为例，使用步骤如下：

###### 1.在 pom.xml 文件中添加 BCryptPasswordEncoder 的依赖： ######

<dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-crypto</artifactId>
        <version>5.6.1</version>
    </dependency>

2.在 Spring 配置文件中注入 BCryptPasswordEncoder：

@Configuration
    public class SecurityConfig extends WebSecurityConfigurerAdapter {
        
        @Bean
        public PasswordEncoder passwordEncoder() {
            return new BCryptPasswordEncoder();
        }
        
        // ...
    }

3.在使用密码的地方调用`passwordEncoder.encode()`方法对密码进行加密，例如注册时对密码进行加密：

@Service
    public class UserServiceImpl implements UserService {
     
        @Autowired
        private PasswordEncoder passwordEncoder;
     
        @Override
        public User register(User user) {
            String encodedPassword = passwordEncoder.encode(user.getPassword());
            user.setPassword(encodedPassword);
            // ...
            return user;
        }
     
        // ...
    }

以上就是使用 BCryptPasswordEncoder 对密码进行加密的步骤。使用其他密码编码器的步骤类似，只需将 BCryptPasswordEncoder 替换为相应的密码编码器即可。

#### 6.Spring Security基于用户名和密码的认证模式流程？ ####

请求的用户名密码可以通过表单登录，基础认证，数字认证三种方式从HttpServletRequest中获得，用于认证的数据源策略有内存，数据库，ldap,自定义等。

拦截未授权的请求，重定向到登录页面的过程：

当用户访问需要授权的资源时，Spring Security会检查用户是否已经认证（即是否已登录），如果没有登录则会重定向到登录页面。

重定向到登录页面时，用户需要输入用户名和密码进行认证。

表单登录的过程：

1.  用户在登录页面输入用户名和密码，提交表单。
2.  Spring Security的UsernamePasswordAuthenticationFilter拦截表单提交的请求，并将用户名和密码封装成一个Authentication对象。
3.  AuthenticationManager接收到Authentication对象后，会根据用户名和密码查询用户信息，并将用户信息封装成一个UserDetails对象。
4.  如果查询到用户信息，则将UserDetails对象封装成一个已认证的Authentication对象并返回，如果查询不到用户信息，则抛出相应的异常。
5.  认证成功后，用户会被重定向到之前访问的资源。如果之前访问的资源需要特定的角色或权限才能访问，则还需要进行授权的过程。

Spring Security的认证流程大致可以分为两个过程，首先是用户登录认证的过程，然后是用户访问受保护资源时的授权过程。在认证过程中，用户需要提供用户名和密码，Spring Security通过UsernamePasswordAuthenticationFilter将用户名和密码封装成Authentication对象，并交由AuthenticationManager进行认证。

如果认证成功，则认证结果会存储在SecurityContextHolder中。在授权过程中，Spring Security会检查用户是否有访问受保护资源的权限，如果没有则会重定向到登录页面进行认证。

拦截未授权的请求，重定向到登录页面

![图片][7e14497d8f5237f8aeef6a4c5c5894c5.png]

表单登录的过程，进行账号密码认证

![图片][c4f7153a930c14a9c8d3dccfc12c9d6e.png]

[4d6e0c5ead8f5cc2a98485600592a04f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/32ba3e9e7ee04d39b0b2107d31929f8c.png
[7e14497d8f5237f8aeef6a4c5c5894c5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/d38d8f01086e4a0e934c94b062fc2715.png
[c4f7153a930c14a9c8d3dccfc12c9d6e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/46f32a7d978d4c55bf6aa4f5019dc962.png