如何配置Spring Security实现基于内存用户的基本认证？ -

题目

如何配置Spring Security实现基于内存用户的基本认证？

信息

类型：问答
难度：⭐

考点

基础配置,内存认证,密码编码

快速回答

实现基于内存用户的基本认证需要三个核心步骤：

添加Spring Security依赖到项目
创建配置类继承WebSecurityConfigurerAdapter并重写configure(AuthenticationManagerBuilder auth)方法
使用inMemoryAuthentication()定义用户名、密码和角色，必须配置密码编码器

## 解析

1. 原理说明

Spring Security的认证流程核心是AuthenticationManager。内存认证通过InMemoryUserDetailsManager存储用户凭证，适用于简单场景：

用户信息在应用启动时硬编码加载
请求需携带Basic Auth或表单认证信息
认证管理器验证凭据并生成安全上下文

2. 代码示例

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")  // 用户名
            .password(passwordEncoder().encode("pass123"))  // 加密密码
            .roles("USER")   // 角色
            .and()
            .withUser("admin")
            .password(passwordEncoder().encode("admin456"))
            .roles("ADMIN");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();  // 必须配置编码器
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest().authenticated()  // 所有请求需认证
            .and()
            .httpBasic();  // 启用HTTP Basic认证
    }
}

3. 最佳实践

密码编码：必须使用PasswordEncoder（推荐BCrypt），明文存储会导致报错
角色前缀：自动添加ROLE_前缀，配置角色时写USER而非ROLE_USER
最小权限：生产环境应使用数据库存储，内存认证仅用于测试

4. 常见错误

错误现象	原因	解决方案
There is no PasswordEncoder mapped...	未配置密码编码器	添加`@Bean PasswordEncoder`
403 Forbidden	角色权限不足	检查`.roles()`配置或URL权限规则
401 Unauthorized	凭据错误/未提供	检查用户名密码或添加`.httpBasic()`