Spring Security 中如何配置一个简单的内存用户认证？

题目

Spring Security 中如何配置一个简单的内存用户认证？

信息

• 类型：问答
• 难度：⭐

考点

Spring Security 配置, 内存用户认证, 基础安全配置

快速回答

在 Spring Security 中配置内存用户认证需要：

1. 添加 Spring Security 依赖
2. 创建配置类继承 WebSecurityConfigurerAdapter
3. 重写 configure(AuthenticationManagerBuilder auth) 方法
4. 使用 inMemoryAuthentication() 定义用户名、密码和角色
5. 通过 passwordEncoder() 设置密码编码器

1. 原理说明

内存用户认证（In-Memory Authentication）是 Spring Security 中最简单的认证方式，将用户凭证直接存储在应用内存中。适用于开发/测试环境，无需数据库支持。核心组件：

• AuthenticationManagerBuilder：用于构建认证配置
• inMemoryAuthentication()：启用内存存储
• PasswordEncoder：密码必须编码存储（Spring Security 5+强制要求）

2. 代码示例

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")  // 定义用户名
            .password("{noop}password")  // {noop}表示明文密码
            .roles("USER")   // 分配角色
            .and()
            .withUser("admin")
            .password("{noop}admin123")
            .roles("ADMIN");
    }

    // 配置HTTP安全（可选基础示例）
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()  // 所有请求需认证
            .and()
            .formLogin();  // 启用默认登录页
    }
}

3. 最佳实践

• 密码编码器：生产环境必须使用强编码器（如 BCrypt），替换 {noop}：

  .passwordEncoder(PasswordEncoderFactories.createDelegatingPasswordEncoder())
  .withUser("user")
  .password("{bcrypt}$2a$10$...hashedValue...")  // BCrypt 哈希值

• 角色前缀：.roles("USER") 会自动添加 ROLE_ 前缀，等价于 .authorities("ROLE_USER")
• 最小配置：仅需覆盖 configure(AuthenticationManagerBuilder) 方法

4. 常见错误

• 缺失密码编码器：Spring Security 5+ 必须配置，否则报 There is no PasswordEncoder mapped... 错误
• 角色格式错误：使用 .roles("USER") 而非 .authorities("USER")，后者不会自动添加 ROLE_ 前缀
• 配置覆盖问题：若同时存在多个 SecurityConfig，需通过 @Order 指定优先级

5. 扩展知识

• 密码编码器升级：PasswordEncoderFactories.createDelegatingPasswordEncoder() 支持多种编码前缀（如 {bcrypt}, {sha256}）
• 衔接其他认证方式：可链式配置多种数据源：

  auth.inMemoryAuthentication()...
      .and()
      .jdbcAuthentication()...  // 接数据库认证

• 替代方案：生产环境推荐使用 JDBC 或 JPA 认证，通过 UserDetailsService 接口实现