1、 Spring Security 是一个为基于 Spring 的应用程序提供声明式安全防护的框架，具备完善的认证与授权机制，可覆盖 Web 请求及方法调用两个层面。作为 Spring 生态的一部分，它深度融合了依赖注入和面向切面编程技术，灵活实现安全控制，提升应用的安全性与可维护性，适用于各类需要权限管理的 Java Web 项目。
2、 在Web请求层面，通过Servlet规范中的过滤器实现请求保护，对URL访问进行控制与限制，确保资源的安全调用与权限管理。
3、 通过Spring AOP实现方法调用级别的安全控制，确保仅授权用户可访问受保护的方法。
4、 创建Spring项目，在pom.xml中引入Spring Security依赖即可完成基础配置。
5、 创建一个用于配置Spring Security的安全配置类，该类位于包路径com.spring.security.springsecurity.config下。此类通过注解的方式实现对Web安全机制的自定义配置。首先，使用@Configuration注解标识该类为Spring的配置类，使其能够被Spring容器识别并加载。同时，引入@EnableWebSecurity注解以启用Spring Security的默认Web安全配置，从而集成Spring Security提供的各项安全功能。
6、 该配置类继承自WebSecurityConfigurerAdapter，通过重写其方法来定制认证和授权规则。在配置过程中，主要涉及两个核心方面的设置：用户认证机制的构建以及HTTP请求的安全访问控制。
7、 在用户认证配置方面，通过重写configure(AuthenticationManagerBuilder auth)方法，可以定义系统的认证管理器。在此方法中，可配置用户信息的来源，例如使用内存中的用户存储，并通过BCryptPasswordEncoder对用户密码进行加密处理，确保密码以安全的哈希形式存储。可以预设一个或多个用户账号，分别指定其用户名、密码及对应的角色权限，从而实现基于角色的访问控制。
8、 在Web请求安全控制方面，重写configure(HttpSecurity http)方法，用于设定不同URL路径的访问权限。例如，可以允许所有用户访问登录页面和静态资源，而对其他受保护的路径要求用户必须经过身份验证。此外，可以自定义登录页面的路径、登录成功后的跳转地址以及退出登录后的处理逻辑。同时，启用默认的注销功能，并确保在会话失效时能够正确跳转至指定页面。
9、 整个配置过程充分利用Spring Security提供的DSL语法，使安全规则的定义更加清晰直观。通过合理配置，系统能够实现用户登录认证、权限校验、防止跨站请求伪造（CSRF）等基本安全功能，为Web应用提供全面的安全保障。该配置类作为系统安全的核心组件，对提升应用的整体安全性具有重要意义。
10、 通过启用Web安全配置，创建一个安全配置类以管理应用程序的访问控制。该类继承自Web安全配置适配器，用于自定义安全策略。在配置方法中，对HTTP安全机制进行详细设定。首先，针对请求的访问权限进行划分：允许所有用户无需登录即可访问根路径、首页路径，以及与员工信息相关的路径，包括员工主页面及其子路径。这些路径通过Ant风格的匹配器进行定义，并设置为公共可访问，即任何用户均可查看，无需身份验证。
11、 对于除上述路径之外的所有其他请求，则要求用户必须经过身份认证才能访问，确保系统资源的安全性。该规则通过设定其余所有请求均需认证来实现，从而保障未授权用户无法进入受保护区域。
12、 此外，系统采用自定义表单登录方式替代默认的登录页面。通过配置表单登录选项，指定登录页面的访问路径为/login，并确保该登录页面对所有用户开放，允许新用户或未登录用户顺利进入登录界面进行身份验证。同时，系统启用了注销功能，并将注销相关操作路径设为公共可访问，使用户在完成会话后能够安全退出系统，清除认证状态。
13、 整体配置实现了基础但完整的安全控制机制，既保证了关键资源的访问安全，又为用户提供了清晰的登录与退出流程，增强了系统的可用性与安全性。
14、 在配置认证管理器时，通过重写configure方法实现用户身份验证机制的设定。该配置采用内存存储方式管理用户数据，不依赖外部数据库。首先指定密码编码器为BCryptPasswordEncoder，确保所有密码在存储时均经过加密处理，提升系统安全性。随后定义两个预设用户账户：第一个账户用户名为user，密码设置为123，经BCrypt算法加密后存储，赋予其USER角色权限，适用于普通用户访问场景。第二个账户用户名为admin，密码为456，同样使用BCrypt进行加密编码，具备USER和ADMIN双重角色权限，可执行管理员操作及普通用户功能。两个账户通过链式调用方式配置，使用and()方法分隔不同用户项。整个认证配置过程在内存中完成，适用于测试环境或轻量级应用，避免了复杂的数据源配置。此方式便于快速搭建基础安全框架，但需注意在生产环境中应替换为基于数据库或LDAP等持久化存储的认证方案，以满足实际业务的安全性与可扩展性需求。
