内容：

在现代企业级应用中，安全性无疑是重中之重。Spring Security，作为Spring生态中最受欢迎的安全框架之一，以其强大且灵活的特性，成为了众多开发者的首选。今天，我将带大家走进Spring Security的世界，通过一个实战案例，探索如何从零开始搭建一个安全的应用。

一、项目初始化

首先，我们需要创建一个新的Spring Boot项目。如果你使用的是Spring Initializr，那么选择“Web”和“Security”这两个依赖项，就能快速搭建起一个基础的项目结构。

二、添加Spring Security依赖

在项目的pom.xml文件中，添加以下依赖：

<dependency>
   <groupId>org.springframework.boot</groupId>
   <artifactId>spring-boot-starter-security</artifactId>
</dependency>

三、数据库设计与初始化

接下来，我们需要为用户和角色创建数据库表。这里使用的是MySQL数据库，你可以根据自己的需求进行调整。

CREATE TABLE roles (
  id BIGINT AUTO_INCREMENT PRIMARY KEY,
  name VARCHAR(50) NOT NULL
);

CREATE TABLE users (
  id BIGINT AUTO_INCREMENT PRIMARY KEY,
  username VARCHAR(50) NOT NULL UNIQUE,
  password VARCHAR(255) NOT NULL,
  enabled BOOLEAN DEFAULT true
);

CREATE TABLE user_roles (
  user_id BIGINT,
  role_id BIGINT PRIMARY KEY (user_id, role_id),
  FOREIGN KEY (user_id) REFERENCES users(id),
  FOREIGN KEY (role_id) REFERENCES roles(id)
);

四、实体类与Repository

创建User和Role实体类，并为其配置相应的注解。同时，创建UserRepository接口，用于与数据库进行交互。

五、自定义UserDetailsService

实现UserDetailsService接口，从数据库中加载用户信息。这里我们使用Spring Data JPA来简化数据库操作。

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("User not found"));

        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                user.isEnabled(),
                true,
                true,
                user.getRoles().stream()
                        .map(role -> new SimpleGrantedAuthority(role.getName()))
                        .collect(Collectors.toList())
        );
    }
}

六、配置Spring Security

在SecurityConfig类中，配置数据库认证，并启用方法级别的权限控制。

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig {

    @Autowired
    private CustomUserDetailsService customUserDetailsService;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/login", "/public/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin().permitAll()
            .and()
            .logout().permitAll();

        return http.build();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(customUserDetailsService)
                .passwordEncoder(passwordEncoder());
    }
}

七、方法级别的权限控制

使用@PreAuthorize注解来控制控制器方法的访问权限。例如，只有角色为ROLE_ADMIN的用户才能访问/admin页面。

@Controller
public class WebController {

    @GetMapping("/admin")
    @PreAuthorize("hasRole('ROLE_ADMIN')")
    public String adminPage() {
        return "admin";
    }

    @GetMapping("/user")
    @PreAuthorize("hasRole('ROLE_USER')")
    public String userPage() {
        return "user";
    }

    @GetMapping("/dashboard")
    @PreAuthorize("hasAnyRole('ROLE_ADMIN', 'ROLE_USER')")
    public String dashboard() {
        return "dashboard";
    }
}

八、启动与测试

最后，确保你的应用能够正常启动，并通过浏览器访问/login、/public/**、/admin、/user和/dashboard等页面进行测试。你会发现，根据用户的角色和权限，他们可以访问不同的页面。

通过这个实战案例，我们不仅学会了如何在Spring Boot中使用Spring Security进行身份验证和授权，还掌握了如何从零开始搭建一个安全的应用。希望这篇文章能对你有所帮助！