Authentication-schema默认配置详解

一、概述

在Web应用程序中，安全性是至关重要的，用户身份验证是保护应用程序的一种基本方法。authentication-schema是用于实现Spring Security的认证方案的核心部分之一。在默认配置中，authentication-schema提供了一个基本的用户身份验证方案，可以轻松地与现有应用程序集成。本文将对authentication-schema的默认配置进行详细介绍。

二、配置源代码

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")
            .password("{noop}password")
            .roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/").hasRole("USER")
            .and()
            .formLogin()
            .and()
            .httpBasic();
    }
}

上述代码是一个最小的Spring Security配置，通过在内存中配置帐户，启用了基本的身份验证和授权。它定义了一个权限为"user"的用户账户，密码为"password"，并授予该用户ROLE_USER角色。任何尝试访问网站首页的用户都需要先通过基本身份验证登录，才能被授权访问。

三、配置说明

1. AuthenticationManagerBuilder

AuthenticationManagerBuilder是一个用于建立AuthenticationManager实例的工具。在默认配置中，configureGlobal方法被用来在内存中配置用户帐户。这意味着所有身份验证将查找内存中的用户，以确保它们具有正确的权限。这是一个非常基本但实用的配置方式。

auth.inMemoryAuthentication()
    .withUser("user")
    .password("{noop}password")
    .roles("USER");

这行代码使用了.withUser()方法来创建一个用户账户，然后使用了.password()方法来添加这个用户的密码。在这里，我们使用了{noop}前缀来显式将密码存储为明文，这是为了简单起见。然后，我们使用了.roles()方法为该用户分配了一个角色。

2. HttpSecurity

HttpSecurity用于配置应用程序的安全性，它允许我们定义哪些URL需要受保护，并设置与此相关的其他安全性选项。在默认配置中，我们使用了.authorizeRequests()方法来定义需要通过身份验证才能访问的URL模式。在这里，我们定义了只有主页("/", 即默认页面)需要通过身份验证才能访问。通过使用.hasRole()方法来授权只有"USER"角色才能访问该页面。如果用户没有被授权，则会被重定向到一个默认的403（禁止访问）错误页面。

http.authorizeRequests()
    .antMatchers("/").hasRole("USER");

此外，在默认配置中，formLogin()启用了一个简单的基于表单的登录页面，允许用户输入用户名和密码。httpBasic()启用了HTTP基本身份验证。

四、小结

本文对Spring Security的authentication-schema默认配置进行了详细介绍。我们介绍了如何使用内存中的用户账户作为基本身份验证配置，并设置了只有特定角色的用户才能访问受保护的URL。除此之外，还简要介绍了基于表单的登录页面、HTTP基本身份验证等相关的配置。