如何在Spring Security配置中避免SQL查询硬编码？

针对你当前使用JdbcUserDetailsManager的场景，无需替换成复杂的NamedParameterJdbcTemplate，可以通过以下几种简洁方式实现查询语句的灵活配置，同时保留指定数据库/模式的最佳实践：

方案一：直接配置完整表标识符（推荐） #

在application.properties中定义包含数据库/模式的完整表名：

# application.properties
security.user-table=users_db.users
security.role-table=users_db.user_role

然后在配置类中通过@Value注入，直接替换硬编码的表名部分：

@Bean
public AuthenticationProvider authenticationProvider(@Value("${security.user-table}") String userTable,
                                                     @Value("${security.role-table}") String roleTable) {
    JdbcUserDetailsManager userDetailsManager = new JdbcUserDetailsManager(dataSource);
    userDetailsManager.setUsersByUsernameQuery(
        String.format("SELECT username, password, enabled FROM %s where username = ?", userTable)
    );
    userDetailsManager.setAuthoritiesByUsernameQuery(
        String.format("SELECT username, role FROM %s WHERE username = ?", roleTable)
    );

    DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
    authProvider.setUserDetailsService(userDetailsManager);
    authProvider.setPasswordEncoder(passwordEncoder());
    return authProvider;
}

这种方式完全保留原有代码结构，仅通过配置参数替换硬编码内容，使用者只需在配置文件中修改对应表标识符即可适配自己的数据库环境。

方案二：拆分数据库/模式与表名配置 #

如果需要更细粒度的配置（比如数据库名和表名分开管理），可以拆分配置项：

# application.properties
security.db-schema=users_db
security.user-table-name=users
security.role-table-name=user_role

然后在代码中动态拼接：

@Bean
public AuthenticationProvider authenticationProvider(@Value("${security.db-schema}") String dbSchema,
                                                     @Value("${security.user-table-name}") String userTableName,
                                                     @Value("${security.role-table-name}") String roleTableName) {
    String userTable = String.format("%s.%s", dbSchema, userTableName);
    String roleTable = String.format("%s.%s", dbSchema, roleTableName);

    JdbcUserDetailsManager userDetailsManager = new JdbcUserDetailsManager(dataSource);
    userDetailsManager.setUsersByUsernameQuery(
        String.format("SELECT username, password, enabled FROM %s where username = ?", userTable)
    );
    userDetailsManager.setAuthoritiesByUsernameQuery(
        String.format("SELECT username, role FROM %s WHERE username = ?", roleTable)
    );

    DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
    authProvider.setUserDetailsService(userDetailsManager);
    authProvider.setPasswordEncoder(passwordEncoder());
    return authProvider;
}

该方案既满足了指定数据库/模式的最佳实践，又让使用者可以灵活调整数据库名或表名。

方案三：使用SpEL直接拼接查询语句 #

借助Spring的SpEL表达式，可以在@Value中直接完成查询语句的拼接，进一步简化代码：

# application.properties
security.db-schema=users_db
security.user-table-name=users
security.role-table-name=user_role

配置类中直接注入完整的查询语句：

@Bean
public AuthenticationProvider authenticationProvider(
        @Value("SELECT username, password, enabled FROM ${security.db-schema}.${security.user-table-name} where username = ?") String userQuery,
        @Value("SELECT username, role FROM ${security.db-schema}.${security.role-table-name} WHERE username = ?") String roleQuery) {
    JdbcUserDetailsManager userDetailsManager = new JdbcUserDetailsManager(dataSource);
    userDetailsManager.setUsersByUsernameQuery(userQuery);
    userDetailsManager.setAuthoritiesByUsernameQuery(roleQuery);

    DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
    authProvider.setUserDetailsService(userDetailsManager);
    authProvider.setPasswordEncoder(passwordEncoder());
    return authProvider;
}

这种方式把查询语句的拼接逻辑交给Spring处理，代码更加简洁直观。

以上三种方案都无需改动原有的JdbcUserDetailsManager使用逻辑，既解决了硬编码问题，又遵循了指定数据库/模式的最佳实践，贴合你的现有代码结构。

内容的提问来源于stack exchange，提问作者Sergey Zolotarev