编辑于
SpringSecurity实战教程（八）Remember-Me实现原理：持久化令牌与安全存储方案
1. 前言 在我们日常开发的后台系统中，"Remember-Me"（记住我）功能是一种常见的安全增强机制，允许用户在关闭浏览器后仍然保持登录状态，而无需重新输入用户名和密码。Spring Security提供了多种Remember-Me方案，最常用的是基于哈希的Token方案和持久化令牌方案。
编辑于
SpringSecurity实战教程（二）表单登录定制到处理逻辑的深度改造
前言 通过上一章节的讲解，相信大家已经认识了Spring Security安全框架。在我们创建的第一个演示项目中，相信大家也发现了默认表单登录的局限性。Spring Security默认提供的登录页虽然快速可用，但存在三大问题：
编辑于
SpringSecurity实战教程（九）前后端分离认证实战 - JWT+SpringSecurity无缝整合
1. 前言 又是新的一周，博主继续来给大家更新 Spring Security 实战教程系列啦～ 通过前面的章节教程从认证到授权，相信大家已经基本了解 Spring Security 的工作原理。
但在前后端分离架构成为主流的今天，传统的 Session-Cookie 认证模式面临跨域限制、服务端状态维护等难题 …
编辑于
SpringSecurity实战教程（六）基于数据库的ABAC属性权限模型实战开发
1. 前言 今天博主又抽空来给小伙伴们更新Spring Security教程啦！上个章节中我们讲解了如何通过数据库实现基于数据库的动态用户认证。大家可能发现了，项目中是基于RBAC角色模型的权限控制，虽然能满足大多数场景，但在面对复杂、细粒度的权限需求时可能会力不从心。基于属性的访问控制（ABAC）模型则通过评估用户、 …
编辑于
SpringSecurity实战教程（七）方法级安全控制：@PreAuthorize注解的灵活运用
1. 前言 在实际项目中，安全控制不仅体现在URL拦截层面，方法级安全控制也越来越受到重视。Spring Security提供了多种方式实现方法级安全，通过方法注解体系，这种细粒度控制使得我们能够在方法调用前、调用后，甚至返回值处理阶段实施安全检查，真正成为开发者保护服务接口的重要手段。
编辑于
SpringSecurity实战教程（三）Spring Security的底层原理解析
最新Spring Security实战教程（三）：Spring Security的底层原理解析 1. 前言 相信通过前面两个章节的讲解，大家已经对Spring Security有了一个初步认识。今天这个章节我们主要聊一聊Spring Security的底层原理。为什么我们只要简单的一个配置就可以实现想要的功能？实际上 …
编辑于
SpringSecurity实战教程（十）权限表达式进阶：SpEL在安全控制中的高阶魔法
1. 前言 博主在持续更新Spring Security教程过程中，有一些小伙伴总会私信问到之前关于ABAC属性权限模型那一个章节中自定义策略条件表达式的问题，如下图：
编辑于
SpringSecurity实战教程（十八）安全日志与审计：关键操作追踪与风险预警
1. 前言 在我们日常开发系统的安全架构中，仅仅通过认证和授权往往不足以满足合规、溯源、风险预警等需求。企业级系统必须记录并分析 “谁在什么时候对什么资源做了什么操作”，并结合规则引擎识别异常行为，及时告警。
编辑于
SpringSecurity实战教程（十二）CORS安全配置 - 跨域请求的安全详解
1. 前言 在日常开发中，跨域资源共享（CORS）已成为前端与后端分离架构的必备能力。正确配置 CORS 是后端安全边界的重要一环。但安全与便利的天平往往难以把握——过于宽松的配置可能导致敏感数据泄露，过于严格的策略又会影响正常业务交互。本文我们继续《Spring Security 实战教程》，讲解 CORS 安全配置 …
编辑于
SpringSecurity实战教程（十六）微服务间安全通信 - JWT 令牌传递与校验机制
1. 前言 在微服务架构中，服务间的安全通信至关重要。为了解决不同服务之间的认证与授权问题，常常使用 JSON Web Token (JWT) 作为令牌传递机制。JWT 是一种轻量级的令牌格式，包含丰富的用户身份信息，并且可以被服务端验证。利用 Spring Security 6 和 JWT，我们可以轻松实现服务间的安 …