目录
Spring Security简介：
实验环境搭建：
认证和授权
权限控制和注销
Spring Security简介：
Spring Security 是针对Spring项目的安全框架，也是Spring Boot底层安全模块默认的技术选型，它可以实现强大的Web安全控制，对于安全控制，我们只需要引入 spring-boot-starter-security 模块，进行少量的配置，即可实现强大的安全管理！
记住几个类：
WebSecurityConfigurerAdapter：自定义Security策略
AuthenticationManagerBuilder：自定义认证策略
@EnableWebSecurity：开启WebSecurity模式
Spring Security的两个主要目标是 “认证” 和 “授权”（访问控制）。
“认证”（Authentication）
身份验证是关于验证您的凭据，如用户名/用户ID和密码，以验证您的身份。
身份验证通常通过用户名和密码完成，有时与身份验证因素结合使用。
“授权” （Authorization）
授权发生在系统成功验证您的身份后，最终会授予您访问资源（如信息，文件，数据库，资金，位置，几乎任何内容）的完全权限。
这个概念是通用的，而不是只在Spring Security 中存在。
Spring Security 框架对于认证和授权很好的支持。在用户认证方面，Spring Security 框架支持主流的认证方式，包括 HTTP 基本认证、HTTP 表单验证、HTTP 摘要认证、OpenID 和 LDAP 等。在用户授权方面，Spring Security 提供了基于角色的访问控制和访问控制列表（Access Control List，ACL），可以对应用中的领域对象进行细粒度的控制。
下面是spring security官网：Spring Security 找到对应的官方文档：Spring Security Reference
实验环境搭建：
1.新建一个初始的springboot项目web模块，thymeleaf模块
2.导入静态资源
3、controller跳转！
4、测试实验环境是否成功
我们测试的环境，是谁都可以访问，现在我们使用 Spring Security 增加上认证和授权的功能
1、引入 Spring Security 模块
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency>
2、编写 Spring Security 配置类
参考对应的官方文档：Spring Security Reference
3、编写基础配置类
@EnableWebSecurity // 开启WebSecurity模式 public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { } }
4.定义授权的规则:
在配置类中看授权的源码:
5、测试，发现除了首页都进不去了！因为我们目前没有登录的角色，因为请求需要登录的角色拥有对应的权限才可以！
6、在configure()方法中加入以下配置，开启自动配置的登录功能！
从源码解释中看
// 开启自动配置的登录功能 // /login 请求来到登录页 // /login?error 重定向到这里表示登录失败 http.formLogin();
7、测试一下：发现，没有权限的时候，会跳转到登录的页面！
8、查看刚才登录页的注释信息；
我们可以定义认证规则，从源码中查看
重写configure(AuthenticationManagerBuilder auth)方法
//定义认证规则 @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { //在内存中定义，也可以在jdbc中去拿.... auth.inMemoryAuthentication() .withUser("kuangshen").password("123456").roles("vip2","vip3") .and() .withUser("root").password("123456").roles("vip1","vip2","vip3") .and() .withUser("guest").password("123456").roles("vip1","vip2"); }
9、测试，我们可以使用这些账号登录进行测试！发现会报错！
There is no PasswordEncoder mapped for the id “null”
10、原因，我们要将前端传过来的密码进行某种方式加密，否则就无法登录，修改代码
11、测试，登录成功，并且每个角色只能访问自己认证下的规则
1、开启自动配置的注销的功能
2、在前端，增加一个注销的按钮，index.html 导航栏中
<a class="item" th:href="@{/logout}"> <i class="sign-out icon"></i> 注销 </a>
3、可以去测试一下，登录成功后点击注销，发现注销完毕会跳转到登录页面！
4、但是，我们想让他注销成功后，依旧可以跳转到首页，该怎么处理呢？
// .logoutSuccessUrl("/"); 注销成功来到首页 http.logout().logoutSuccessUrl("/");
5、测试，注销完毕后，发现跳转到首页OK
6、现在来一个需求：用户没有登录的时候，导航栏上只显示登录按钮，用户登录之后，导航栏可以显示登录的用户信息及注销按钮！还有就是，比如longdi这个用户，它只有 vip2，vip3功能，那么登录则只显示这两个功能，而vip1的功能菜单不显示！这个就是真实的网站情况了！
我们需要结合thymeleaf中的一些功能
sec：authorize="isAuthenticated()":是否认证登录！来显示不同的页面
Maven依赖：
<dependency> <groupId>org.thymeleaf.extras</groupId> <artifactId>thymeleaf-extras-springsecurity5</artifactId> <version>3.0.4.RELEASE</version> </dependency>
7、修改我们的 前端页面
导入命名空间 xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5"
修改导航栏，增加认证判断
8、重启测试，可以登录试试看，登录成功后确实，显示了我们想要的页面；
9、如果注销404了，就是因为它默认防止csrf跨站请求伪造，因为会产生安全问题，可以将请求改为post表单提交，或者在spring security中关闭csrf功能；试试在 配置中增加
10、继续将下面的角色功能块认证完成！测试成功！