如何配置Spring Security实现基于表单的登录？

题目

如何配置Spring Security实现基于表单的登录？

信息

• 类型：问答
• 难度：⭐

考点

Spring Security配置,表单登录,基础认证流程

快速回答

配置Spring Security实现表单登录的核心步骤：

1. 添加Spring Security依赖（Maven/Gradle）
2. 创建配置类继承WebSecurityConfigurerAdapter
3. 重写configure(HttpSecurity http)方法
4. 使用http.formLogin()启用表单登录
5. 指定登录页URL（如.loginPage("/login")）
6. 设置权限控制规则（如antMatchers("/public/**").permitAll()）

原理说明

Spring Security的表单登录基于过滤器链实现：

• 核心过滤器：UsernamePasswordAuthenticationFilter处理表单提交
• 认证流程：用户访问受保护资源 → 重定向到登录页 → 提交凭证 → 验证 → 创建安全上下文
• 默认行为：未配置时自动生成登录页，但实际项目需自定义

代码示例

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/css/**", "/js/**").permitAll() // 放行静态资源
                .anyRequest().authenticated() // 所有请求需认证
            .and()
            .formLogin()
                .loginPage("/login") // 自定义登录页
                .permitAll() // 允许所有人访问登录页
                .defaultSuccessUrl("/home") // 登录成功跳转
            .and()
            .logout()
                .permitAll(); // 允许注销
    }
}

最佳实践

• 自定义登录页：避免使用默认页，创建Thymeleaf/HTML页面
• CSRF防护：表单中必须包含<input type=\"hidden\" name=\"_csrf\">
• 密码加密：配置PasswordEncoder（如BCryptPasswordEncoder）

常见错误

• 循环重定向：未放行登录页资源（如CSS/JS），导致登录页需要认证
• 403禁止访问：忘记配置.permitAll()放行登录页
• 缺少CSRF令牌：自定义表单未添加CSRF字段

扩展知识

• 记住我功能：添加.rememberMe()配置持久化令牌
• 多认证提供商：通过AuthenticationManagerBuilder配置内存/JDBC/LDAP认证
• 响应式编程：Spring Security 5+支持WebFilterChain配置（非继承方式）