Spring Security 的前身是 Acegi Security，在被收纳为Spring子项目后正式更名为Spring Security。
Spring Security 提供了基于javaEE的企业应用软件全面的安全服务。这里特别强调支持使用Spring框架构件的项目，Spring框架是企业软件开发javaEE方案的领导者。如果你还没有使用Spring来开发企业应用程序，我们热忱的鼓励你仔细的看一看。熟悉Spring特别是一来注入原理两帮助你更快更方便的使用Spring Security。
权限继承意味着网站集中某个元素的权限设置将传递给该元素的子元素。这样，网站会从网站集的顶级 ("root") 网站继承权限，库继承自包含库的网站，等等。权限继承使您能够一次进行权限分配，并且拥有该权限应用于继承权限的所有网站、列表、库、文件夹和项目。此行为可降低网站集管理员和网站所有者在安全管理上所花的复杂性和时间。
一旦添加了以上代码，却没有添加更多详细配置之前，Spring Security的登录拦截将不生效！为了便于开发登录功能，先暂时将以上代码去除（删除，或添加为注释）。
Spring Security是一个提供认证(authentication)、授权(authorization)和防御各种Web攻击的框架，它对命令式和反应式应用程序都提供了一流的支持，是保护基于spring的应用程序的事实标准。
几年7-8月份的时候我连续发表了几篇spring-boot整合vue-element-admin项目实现自定义权限控制的实战文章，后面也受到了不少读者的点赞。后面自己也没注意去维护了，但是最近在CSDN上有一个粉丝还是一名高校教师突然给我留言说按照我的文章思路搭建了项目，也实现了自定义菜单和角色授权等功能。但是发现了一个很严重的bug，那就是退出登录无效，且退出登录后系统不会调到登录界面，点击其他页面也是一片空白。
Spring Security 是一个能够为基于 Spring 的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在 Spring 应用上下文中配置的 Bean，充分利用了 Spring IoC，DI 以及 AOP 功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。应用程序安全性的两个主要领域是： ♞ 认证(authentication)：认证 是建立主体(principal)的过程。主体通常是指可以在应用程序中执行操作的用户、设备或其他系统； ♞ 授权(authorization)：也可称为访问控制(access-control)，授权 是指决定是否允许主体在应用程序中执行操作。为了到达需要授权决定的点，认证过程已经建立了主体的身份。这些概念是常见的，并不是特定于 Spring Security。 在认证级别，Spring Security 支持各种各样的认证模型。这些认证模型中的大多数由第三方提供，或者由诸如因特网工程任务组的相关标准机构开发。此外，Spring Security 提供了自己的一组认证功能。
Spring Security是为基于Spring的应用程序提供声明式安全保护的安全性框架。Spring Security提供了完整的安全性解决方案，它能够在Web请求级别和方法调用级别处理身份认证和授权。因为基于Spring框架，所以Spring Security充分利用了依赖注入（dependency injection，DI）和面向切面（AOP）的技术。
Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的 成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方 案。 正如你可能知道的关于安全方面的两个主要区域是“认证”和“授权”（或者访问控 制），一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权 （Authorization）两个部分，这两点也是 Spring Security 重要核心功能。
Spring Security 对Servlet的安全认证是基于包含一系列的过滤器对请求进行层层拦截处理实现的，多个过滤器组成过滤器链。处理单个http 请求的过滤链角色示意图如下所示：
安全是一个不断变化的目标，追求一个全面的、系统范围的方法很重要。在安全领域，我们鼓励您采用“安全层”，这样每个层都可以尽可能地保证自身的安全性，并且连续的层提供额外的安全性。每一层的安全性越“严格”，您的应用程序就越健壮和安全。在底层，为了减少中间人攻击，你需要处理诸如传输安全和系统辨识等问题。接下来，您将通常使用防火墙，也许是通过 vpn 或 IP 安全性来确保只有经过授权的系统才能尝试连接。在公司环境中，您可以部署 DMZ 来将面向公共的服务器与后端数据库和应用程序服务器分开。您的操作系统也将发挥关键作用，解决诸如作为非特权用户运行进程和最大化文件系统安全性等问题。操作系统通常也会配置自己的防火墙。希望在某个地方，你可以尝试阻止针对系统的分布式拒绝服务攻击攻击和暴力破解。入侵预防系统安全协议对于监控和响应攻击也特别有用，这样的系统能够采取保护措施，比如实时阻止违规的 TCP/IP 地址。转移到较高的层，您的 Java 虚拟机有望被配置为最小化授予不同 Java 类型的权限，然后您的应用程序将添加自己的问题域特定的安全配置。Spring Security 使后一个领域——应用程序安全性——更加容易。
重点引入 spring-boot-starter-security 依赖项，完整的 gradle 配置如下:
访问controller,首先请求会被安全框架的aop机制拦截，要求使用用户名和密码验证登录
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。
https://docs.spring.io/spring-security/site/docs/4.2.10.RELEASE/guides/html5/helloworld-xml.html
Spring 是一个非常流行和成功的 Java 应用开发框架。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权（Authorization）两个部分。用户认证指的是验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。用户授权指的是验证某个用户是否有权限执行某个操作。在一个系统中，不同用户所具有的权限是不同的。比如对一个文件来说，有的用户只能进行读取，而有的用户可以进行修改。一般来说，系统会为不同的用户分配不同的角色，而每个角色则对应一系列的权限。
这些开源项目致力于解决身份验证和授权问题，使您的应用程序更安全可靠。它们支持各种身份验证协议，如OAuth2.0、SAML和OpenID Connect，还具备单点登录（SSO）、分布式会话管理和权限控制等功能。无论您是开发人员、系统管理员还是企业用户，这些项目都提供了广泛的解决方案，以保护您的数据和用户隐私。
Apache Shiro 是一个功能强大且易于使用的 Java 安全(权限)框架。Shiro 可以完
导读：网络安全已成为每个企业都面临的关键问题。几乎每天都有关于黑客如何窃取公司数据的头条新闻。为了开发安全的软件并远离头条新闻，企业需要解决各种安全问题，包括硬件的物理安全性、传输和静态数据加密、身份验证、访问授权以及修补软件漏洞的策略，等等。无论你使用的是单体还是微服务架构，大多数问题都是相同的。本文重点介绍微服务架构如何影响应用程序级别的安全性。
Apache Shiro 是一个功能强大且易于使用的 Java 安全(权限)框架。Shiro 可以完 成：认证、授权、加密、会话管理、与 Web 集成、缓存 等。借助 Shiro 您可以快速轻松 地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。
2. 权限系统要素 资源：授权访问。 角色：访问资源的证书，定义了资源访问的界限，作为一个粗粒度的资源访问权限控制。 主体：访问资源的对象，通常为登录用户。 权限：访问资源的具体限定，权限可以细分为操作权限和数据权限。 - 操作权限：体现在2个方面，其一：通过界面来体现，具备操作权限的人才可以在界面上看到对应资源；其二：访问指定资源时进行权限检查。 - 数据权限：主体只能看到/操作他具备访问权限的资源，数据权限的设计可以通过数据库字段管关联来实现。 另外，可以根据权限系统设计的复杂性来决定权限控制粒度。可以将权限独立出来和角色进行组合，理解为通过角色和权限双重身份来限定主体授权访问资源；也可以将权限与角色关联，通过角色来定义主体/分组的权限。 分组：通常对应于现实事物中的部门，主体属于分组，为分组定义角色。
官方文档：https://docs.spring.io/spring-security/site/docs/5.0.3.RELEASE/reference/htmlsingle/#hello-web-security-java-configuration
实现单点登录说到底就是要解决如何产生和存储那个信任，再就是其他系统如何验证这个信任的有效
在实践中，发现很多朋友虽然在使用Shiro，但貌似对其并不了解，甚至有的项目还在使用filter来实现权限管理，而网络上相关教程又比较古老。因此，决定为大家更新这么一个关于Shiro的系列教程，最后会整理成册，分享给大家。如果你也想深入学习一下Shiro框架，那么关注一下公众号“程序新视界”，可及时获取最新的文章，等本系列更新完毕会也会第一时间整理成电子版文档分享给大家。第一篇，给大家科普一些基础概念，下面开始正文。
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
Subject：主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject 都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面；SecurityManager才是实际的执行者； SecurityManager：安全管理器；即所有与安全有关的操作都会与SecurityManager 交互；且它管理着所有Subject；可以看出它是Shiro 的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器； Realm：域，Shiro从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。
权限管理就是实现对用户访问系统的资源进行控制，用户可以访问而且只能访问自己被授权的资源，只要有用户和密码的系统，权限管理几乎都会出现，举例，给张三赋予 “人力资源经理” 的角色，“人力资源经理” 具有 “查询员工”、“添加员工”、“修改员工” 和 “删除员工” 的权限。此时张三能够进入系统，则只可以进行这些操作。
Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能，对于任何一个应用程序，Shiro都可以提供全面的安全管理服务、更易于理解的API。并且相对于其他安全框架，Shiro要简单的多。
《Spring OAuth2 开发指南》是系列文章，详细介绍基于 Spring 生态（包括 Spring Cloud） OAuth2
欢迎阅读 Spring Security 实战干货系列[1]文章 。截止目前已经对 基于配置 和 基于注解 的角色访问控制进行了讲解。对于一些小项目来说基本是够用的。然而如果希望运营管理人员能够动态的配置和分配权限，以上两种方式显然是满足不了需求的。接下来我们来一起探讨一下思路。
本指南是 Spring Security 的入门，提供对框架设计和基本构建块的深入了解。我们只涵盖应用程序安全的基础知识。但是，通过这样做，我们可以消除使用 Spring Security 的开发人员所遇到的一些困惑。为此，我们通过使用过滤器，更一般地说，通过使用方法注释来查看在 Web 应用程序中应用安全性的方式。当您需要对安全应用程序的工作原理、如何对其进行自定义，或者需要了解如何考虑应用程序安全性时，请使用本指南。
本指南是 Spring Security 的入门指南，提供对框架设计和基本构建块的深入了解。我们仅涵盖应用程序安全的基础知识。但是，这样做，我们可以清除使用 Spring Security 的开发人员遇到的一些困惑。为此，我们通过使用过滤器，更一般地，通过使用方法注解，来看看在 Web 应用程序中应用安全性的方式。当您需要深入了解安全应用程序的工作原理、如何对其进行自定义或需要学习如何考虑应用程序安全性时，请使用本指南。
Spring Security 的前身是Acegi Security，在被收纳为Spring 子项目后正式更名为Spring Security。Spring Security目前已经到了6.x，并且加入了原生OAuth2.0框架，支持更加现代化的密码加密方式。可以预见，在Java应用安全领域，Spring Security会成为被首先推崇的解决方案，就像我们看到服务器就会联想到Linux一样顺理成章。
使用spring-boot（1.5.10.RELEASE） 和spring-security（4.2.4.RELEASE）作为依赖环境
在一款应用的整个生命周期，我们都会谈及该应用的数据安全问题。用户的合法性与数据的可见性是数据安全中非常重要的一部分。但是，一方面，不同的应用对于数据的合法性和可见性要求的维度与粒度都有所区别；另一方面，以当前微服务、多服务的架构方式，如何共享Session，如何缓存认证和授权数据应对高并发访问都迫切需要我们解决。Shiro的出现让我们可以快速和简单的应对我们应用的数据安全问题
链接：zyc.red/Spring/Security/OAuth2/OAuth2-Client/
在项目中实际使用Spring Security时，我们的大部分工作其实都是配置HttpSecurity。要么通过spring的 http xml element 来配置，要么通过配置类里的HttpSecurity class来配置，所以在理解了DelegatingFilterProxy，FilterChainProxy，SecurityFilterChain之间的关系之后就很有必要了解一下HttpSecurity类了。
在Spring Boot中应用中Swagger2构建强大的API文档十分方便，只需要在项目中添加Swagger2的依赖，然后在Spring Boot的启动的main方法的类上加上注解@EnableSwagger2就可以完成构建工作。效果图如下：
现在很多企业和开发团队都使用了SSH2（Struts 2 +Spring 2.5 +Hibernate）框架来进行开发， 我们或许已经习惯了强大的Spring Framework 全局配置管理，不可否认，Sping是一个很优秀的开源框架，但是由于Spring3.0版本后强大的的注解式bean的诞生，Spring MVC框架这匹黑马正悄然杀起，但今天Spring MVC不是主角，今天我和大家分享一个同样隶属于SpringSource 的安全框架——Spring Security， 下面的基于Spring MVC给大家分享一下Spring Security 的使用。虽然对它的接触时间不长，参考了一些网上朋友的做法，但也按照我的理解把这个框架介绍介绍，不是很专业，还请大家不要介意 。
在web应用开发中，安全无疑是十分重要的，选择Spring Security来保护web应用是一个非常好的选择。Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。
授权体系设计之初主要是为了解决第三方应用登录和授权的问题，但由于其严格规范的流程定义，广泛的授权通用性，且与具体技术平台无关等诸多优点，逐渐发展成为认证和授权领域的主流技术规范。但其实
Spring Security 是针对 Spring 项目的安全框架，也是Spring Boot底层安全模块默认的技术选型，它可以实现强大的应用安全控制，我们只需引入 spring-boot-starter-security 模块，再进行少量的配置，即可实现强大的安全管理。
当前的操作用户 可以是人 爬虫 当前跟软件交互的东西 在shiro当中我们可以统称"用户" 在代码的任何地方，你都能轻易的获得Shiro Subject。 一旦获得Subject，你就可以立即获得你希望用Shiro为当前用户做的90%的事情：登录、退、访问会话、执行授权检查等
SpringSecurity 是一个高度自定义的安全框架。利用 SpringIoC/DI和 AOP 功能，为系统提供了声明式安全访问控制功能，减少了为系统安全而编写大量重复代码的工作。使用 SpringSecruity 的原因有很多，但大部分都是发现了 javaEE的 Servlet 规范或 EJB 规范中的安全功能缺乏典型企业应用场景。同时认识到他们在 WAR 或 EAR 级别无法移植。因此如果你更换服务器环境，还需要大量工作去重新配置你的应用程序。使用 SpringSecurity解决了这些问题，也为你提供许多其他有用的、可定制的安全功能。
Spring Security的登录主要是由一系列的过滤器组成，我们如果需要修改登录的校验逻辑，只需要在过滤器链路上添加修改相关的逻辑即可。这里主要通过Spring Security的源码来了解相关的认证登录的逻辑。
其核心就是一组过滤器链，项目启动后将会自动配置。最核心的就是 Basic Authentication Filter 用来认证用户的身份，一个在spring security中一种过滤器处理一种认证方式。
领取专属 10元无门槛券
手把手带您无忧上云
