Spring Boot Security：Google登录、用户名密码登录与JWT实现

完全可以在同一单体应用中同时兼容这两种认证方式，这是企业应用中非常常见的多认证场景。核心思路是让应用适配两种认证流程，最终生成统一的用户身份凭证，供后续业务逻辑使用。下面以Java Spring Boot生态为例，分享具体实现步骤与技术细节：

一、基础依赖准备 #

在Maven pom.xml中引入核心依赖：

<dependencies>
    <!-- Spring Security核心 -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <!-- OAuth2客户端支持 -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-oauth2-client</artifactId>
    </dependency>
    <!-- 数据库访问（根据实际ORM框架调整） -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-data-jpa</artifactId>
    </dependency>
</dependencies>

二、配置Google OAuth2客户端 #

在application.properties或application.yml中配置Google OAuth2的客户端信息（需提前在Google开发者控制台创建OAuth2应用，获取client-id和client-secret）：

# Google OAuth2配置
spring.security.oauth2.client.registration.google.client-id=你的Google客户端ID
spring.security.oauth2.client.registration.google.client-secret=你的Google客户端密钥
spring.security.oauth2.client.registration.google.redirect-uri=http://localhost:8080/login/oauth2/code/google
spring.security.oauth2.client.registration.google.scope=openid,email,profile
spring.security.oauth2.client.provider.google.authorization-uri=https://accounts.google.com/o/oauth2/v2/auth
spring.security.oauth2.client.provider.google.token-uri=https://oauth2.googleapis.com/token
spring.security.oauth2.client.provider.google.user-info-uri=https://www.googleapis.com/oauth2/v3/userinfo
spring.security.oauth2.client.provider.google.user-name-attribute=name

三、实现用户名密码认证逻辑 #

1. 用户实体与Repository：定义本地用户实体，包含用户名、加密密码、邮箱等字段，实现JpaRepository用于数据库操作。
2. UserDetailsService实现：从数据库加载用户信息，供Spring Security验证使用：

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("用户不存在"));
        return User.withUsername(user.getUsername())
                .password(user.getPassword())
                .authorities(user.getRoles().stream().map(SimpleGrantedAuthority::new).toList())
                .build();
    }
}

3. 密码加密配置：配置BCrypt密码编码器，确保密码存储与验证的安全性：

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

四、整合两种认证方式的Security配置 #

创建SecurityFilterChain，同时启用表单登录（用户名密码）和OAuth2登录（Google），并统一处理登录成功后的逻辑：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Autowired
    private CustomOAuth2UserService oAuth2UserService;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/login", "/register").permitAll()
                        .anyRequest().authenticated()
                )
                // 启用用户名密码表单登录
                .formLogin(form -> form
                        .loginPage("/login")
                        .defaultSuccessUrl("/dashboard")
                        .permitAll()
                )
                // 启用Google OAuth2登录
                .oauth2Login(oauth2 -> oauth2
                        .loginPage("/login")
                        .userInfoEndpoint(userInfo -> userInfo
                                .userService(oAuth2UserService)
                        )
                        .defaultSuccessUrl("/dashboard")
                )
                .logout(logout -> logout
                        .logoutSuccessUrl("/login")
                        .invalidateHttpSession(true)
                        .clearAuthentication(true)
                        .permitAll()
                );

        return http.build();
    }

    @Bean
    public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
        return authConfig.getAuthenticationManager();
    }

    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
        provider.setUserDetailsService(userDetailsService);
        provider.setPasswordEncoder(passwordEncoder);
        return provider;
    }
}

五、关键技术细节 #

1. OAuth2用户关联逻辑
   实现CustomOAuth2UserService，处理Google登录后的用户信息：首次登录时，检查邮箱是否已存在本地用户，存在则直接关联生成Authentication；不存在则自动创建本地用户（或引导用户完善信息）：

@Service
public class CustomOAuth2UserService extends DefaultOAuth2UserService {

    @Autowired
    private UserRepository userRepository;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    public OAuth2User loadUser(OAuth2UserRequest userRequest) throws OAuth2AuthenticationException {
        OAuth2User oAuth2User = super.loadUser(userRequest);
        String email = oAuth2User.getAttribute("email");

        // 检查本地是否存在该邮箱用户
        Optional<User> optionalUser = userRepository.findByEmail(email);
        if (optionalUser.isPresent()) {
            // 存在则直接返回关联后的用户信息
            return new CustomOAuth2User(optionalUser.get(), oAuth2User.getAttributes());
        } else {
            // 不存在则创建新用户（自动生成随机密码，因为用户不会用密码登录）
            User newUser = new User();
            newUser.setUsername(email.split("@")[0]);
            newUser.setEmail(email);
            newUser.setPassword(passwordEncoder.encode(UUID.randomUUID().toString()));
            newUser.setRoles(List.of("ROLE_USER"));
            userRepository.save(newUser);
            return new CustomOAuth2User(newUser, oAuth2User.getAttributes());
        }
    }
}

2. 统一用户身份凭证
   自定义CustomOAuth2User实现OAuth2User和UserDetails接口，让两种认证方式生成的Authentication对象都能被Spring Security统一识别，后续业务代码无需区分用户是通过哪种方式登录的。

3. 安全注意事项

• 必须使用HTTPS部署应用，避免OAuth2授权码和用户凭证被窃取；
• Google开发者控制台中的redirect-uri必须与应用配置完全一致，否则会回调失败；
• 本地用户密码必须使用强哈希算法（如BCrypt），禁止明文或弱加密存储；
• 可选实现OAuth2的退出回调，清除Google端的授权会话（需调用Google的退出接口）。

内容的提问来源于stack exchange，提问作者Forece85