摘要：用于發(fā)布身份驗(yàn)證事件的。導(dǎo)入用于安全，配置身份驗(yàn)證，這在非應(yīng)用程序中也是相關(guān)的。安全出于安全考慮，除和之外的所有默認(rèn)禁用，屬性可用于啟用。有關(guān)保護(hù)的其他信息可以在參考指南中找到。

如果在類(lèi)路徑上有Spring Security，那么web應(yīng)用程序默認(rèn)是安全的，Spring Boot依賴(lài)Spring Security的內(nèi)容協(xié)商策略來(lái)決定是使用httpBasic還是formLogin，要向web應(yīng)用程序添加方法級(jí)安全性，還可以使用所需的設(shè)置添加@EnableGlobalMethodSecurity，其他信息可以在Spring Security參考指南中找到。

默認(rèn)的UserDetailsService只有一個(gè)用戶(hù)，用戶(hù)名是user，密碼是隨機(jī)的，在應(yīng)用程序啟動(dòng)時(shí)在INFO級(jí)別打印，如下例所示：

Using generated security password: 78fa095d-3f4c-48b1-ad50-e24c31d5cf35

如果你對(duì)日志配置進(jìn)行了微調(diào)，請(qǐng)確保org.springframework.boot.autoconfigure.security類(lèi)別設(shè)置為記錄INFO級(jí)別的消息，否則，不會(huì)打印默認(rèn)密碼。

你可以通過(guò)提供spring.security.user.name和spring.security.user.password來(lái)更改用戶(hù)名和密碼。

你在web應(yīng)用程序中默認(rèn)獲得的基本特性是：

使用內(nèi)存存儲(chǔ)的UserDetailsService（或WebFlux應(yīng)用程序下的ReactiveUserDetailsService) bean和使用生成密碼的單個(gè)用戶(hù)（參見(jiàn)SecurityProperties.User）的屬性。

整個(gè)應(yīng)用程序基于表單的登錄或HTTP Basic Security（取決于內(nèi)容類(lèi)型）（如果執(zhí)行器在類(lèi)路徑上，則包括執(zhí)行器端點(diǎn)）。

用于發(fā)布身份驗(yàn)證事件的DefaultAuthenticationEventPublisher。

你可以通過(guò)添加bean來(lái)提供不同的AuthenticationEventPublisher。

默認(rèn)的security配置在SecurityAutoConfiguration和UserDetailsServiceAutoConfiguration中實(shí)現(xiàn)，SecurityAutoConfiguration導(dǎo)入SpringBootWebSecurityConfiguration用于web安全，UserDetailsServiceAutoConfiguration配置身份驗(yàn)證，這在非web應(yīng)用程序中也是相關(guān)的，要完全關(guān)閉默認(rèn)的web應(yīng)用程序安全配置，可以添加WebSecurityConfigurerAdapter類(lèi)型的bean（這樣做不會(huì)禁用UserDetailsService配置或執(zhí)行器的安全）。

要關(guān)閉UserDetailsService配置，可以添加UserDetailsService、AuthenticationProvider或AuthenticationManager類(lèi)型的bean，在Spring Boot示例中有幾個(gè)安全的應(yīng)用程序可以讓你從常見(jiàn)的用例開(kāi)始。

可以通過(guò)添加自定義的WebSecurityConfigurerAdapter來(lái)覆蓋訪問(wèn)規(guī)則，Spring Boot提供了方便的方法，可用于覆蓋執(zhí)行器端點(diǎn)和靜態(tài)資源的訪問(wèn)規(guī)則，可以使用EndpointRequest創(chuàng)建一個(gè)基于management.endpoints.web.base-path屬性的RequestMatcher，PathRequest可用于為常用位置的資源創(chuàng)建RequestMatcher。

與Spring MVC應(yīng)用程序類(lèi)似，你可以通過(guò)添加Spring-boot-starter-security依賴(lài)項(xiàng)來(lái)保護(hù)WebFlux應(yīng)用程序，默認(rèn)的security配置在ReactiveSecurityAutoConfiguration和UserDetailsServiceAutoConfiguration中實(shí)現(xiàn)。ReactiveSecurityAutoConfiguration導(dǎo)入WebFluxSecurityConfiguration用于web安全，UserDetailsServiceAutoConfiguration配置身份驗(yàn)證，這在非web應(yīng)用程序中也是相關(guān)的。要完全關(guān)閉默認(rèn)的web應(yīng)用程序安全配置，可以添加WebFilterChainProxy類(lèi)型的bean（這樣做不會(huì)禁用UserDetailsService配置或執(zhí)行器的安全）。

為了關(guān)閉UserDetailsService配置，你可以添加一個(gè)類(lèi)型為ReactiveUserDetailsService或ReactiveAuthenticationManager的bean。

可以通過(guò)添加自定義SecurityWebFilterChain來(lái)配置訪問(wèn)規(guī)則，Spring Boot提供了方便的方法，可用于覆蓋執(zhí)行器端點(diǎn)和靜態(tài)資源的訪問(wèn)規(guī)則，可以使用EndpointRequest創(chuàng)建一個(gè)基于management.endpoints.web.base-path屬性的ServerWebExchangeMatcher。

PathRequest可用于為常用位置的資源創(chuàng)建ServerWebExchangeMatcher。

例如，你可以通過(guò)添加以下內(nèi)容來(lái)定制你的security配置：

@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    return http
        .authorizeExchange()
            .matchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()
            .pathMatchers("/foo", "/bar")
                .authenticated().and()
            .formLogin().and()
        .build();
}

OAuth2是Spring支持的廣泛使用的授權(quán)框架。

如果你的類(lèi)路徑中有spring-security-oauth2-client，那么可以利用一些自動(dòng)配置來(lái)輕松地設(shè)置OAuth2客戶(hù)端，這個(gè)配置使用OAuth2ClientProperties下的屬性。

你可以在spring.security.oauth2.client前綴下注冊(cè)多個(gè)OAuth2客戶(hù)端和提供者，如下例所示：

spring.security.oauth2.client.registration.my-client-1.client-id=abcd
spring.security.oauth2.client.registration.my-client-1.client-secret=password
spring.security.oauth2.client.registration.my-client-1.client-name=Client for user scope
spring.security.oauth2.client.registration.my-client-1.provider=my-oauth-provider
spring.security.oauth2.client.registration.my-client-1.scope=user
spring.security.oauth2.client.registration.my-client-1.redirect-uri-template=http://my-redirect-uri.com
spring.security.oauth2.client.registration.my-client-1.client-authentication-method=basic
spring.security.oauth2.client.registration.my-client-1.authorization-grant-type=authorization_code

spring.security.oauth2.client.registration.my-client-2.client-id=abcd
spring.security.oauth2.client.registration.my-client-2.client-secret=password
spring.security.oauth2.client.registration.my-client-2.client-name=Client for email scope
spring.security.oauth2.client.registration.my-client-2.provider=my-oauth-provider
spring.security.oauth2.client.registration.my-client-2.scope=email
spring.security.oauth2.client.registration.my-client-2.redirect-uri-template=http://my-redirect-uri.com
spring.security.oauth2.client.registration.my-client-2.client-authentication-method=basic
spring.security.oauth2.client.registration.my-client-2.authorization-grant-type=authorization_code

spring.security.oauth2.client.provider.my-oauth-provider.authorization-uri=http://my-auth-server/oauth/authorize
spring.security.oauth2.client.provider.my-oauth-provider.token-uri=http://my-auth-server/oauth/token
spring.security.oauth2.client.provider.my-oauth-provider.user-info-uri=http://my-auth-server/userinfo
spring.security.oauth2.client.provider.my-oauth-provider.jwk-set-uri=http://my-auth-server/token_keys
spring.security.oauth2.client.provider.my-oauth-provider.user-name-attribute=name

默認(rèn)情況下，Spring Security的OAuth2LoginAuthenticationFilter只處理匹配/login/oauth2/code/*的url，如果你想定制redirect-uri-template來(lái)使用不同的模式，你需要提供配置來(lái)處理定制模式，例如，你可以添加類(lèi)似于以下內(nèi)容的WebSecurityConfigurerAdapter：

public class OAuth2LoginSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .oauth2Login()
                .redirectionEndpoint()
                    .baseUri("/custom-callback");
    }
}

對(duì)于普通的OAuth2和OpenID提供者，包括谷歌、Github、Facebook和Okta，我們提供了一組提供者默認(rèn)值（google、github、facebook和Okta）。

如果你不需要定制這些提供者，你可以將提供者屬性設(shè)置為你需要推斷默認(rèn)值的提供者屬性，另外，如果客戶(hù)端的ID與默認(rèn)支持的提供程序匹配，Spring Boot也會(huì)推斷出這一點(diǎn)。

換句話說(shuō)，下面示例中的兩個(gè)配置使用谷歌提供程序：

spring.security.oauth2.client.registration.my-client.client-id=abcd
spring.security.oauth2.client.registration.my-client.client-secret=password
spring.security.oauth2.client.registration.my-client.provider=google

spring.security.oauth2.client.registration.google.client-id=abcd
spring.security.oauth2.client.registration.google.client-secret=password

目前，Spring Security不支持實(shí)現(xiàn)OAuth 2.0授權(quán)服務(wù)器或資源服務(wù)器，但是，這個(gè)功能可以從Spring Security OAuth項(xiàng)目中獲得，該項(xiàng)目最終將被Spring Security完全取代，在此之前，你可以使用spring-security-oauth2-autoconfigure模塊輕松設(shè)置OAuth 2.0服務(wù)器，有關(guān)說(shuō)明，請(qǐng)參閱其文檔。

出于安全考慮，除/health和/info之外的所有Actuator默認(rèn)禁用，management.endpoints.web.exposure.include屬性可用于啟用actuator。

如果在類(lèi)路徑上有Spring Security，并且沒(méi)有其他WebSecurityConfigurerAdapter存在，actuator是通過(guò)Spring Boot自動(dòng)配置來(lái)保護(hù)的，如果你定義了一個(gè)自定義的WebSecurityConfigurerAdapter，Spring Boot自動(dòng)配置將退出，你將完全控制actuator訪問(wèn)規(guī)則。

在設(shè)置management.endpoints.web.exposure.include之前，確保暴露的actuator不包含敏感信息和/或通過(guò)將它們置于防火墻后或通過(guò)類(lèi)似Spring Security的方式進(jìn)行安全保護(hù)。

由于Spring Boot依賴(lài)于Spring Security的默認(rèn)值，所以CSRF保護(hù)默認(rèn)打開(kāi)，這意味著，當(dāng)使用默認(rèn)安全配置時(shí)，需要POST（關(guān)閉和日志記錄器端點(diǎn)）、PUT或DELETE的actuator端點(diǎn)將收到403禁止錯(cuò)誤。

我們建議，只有在創(chuàng)建非瀏覽器客戶(hù)端使用的服務(wù)時(shí)，才完全禁用CSRF保護(hù)。

有關(guān)CSRF保護(hù)的其他信息可以在Spring Security參考指南中找到。