Spring Security及OAuth相关依赖差异与适用场景咨询

1. spring-boot-starter-security #

这是Spring Boot官方提供的基础安全启动器，已整合Spring Security核心模块、配置模块等基础依赖。

• 核心能力：提供用户名密码认证、基于角色的授权、CSRF防护、会话管理等Spring Security基础安全功能。
• 适用场景：只要你的Spring Boot项目需要基础安全保护（比如后台管理系统登录验证、接口权限控制），就引入这个依赖，它会自动完成基础安全配置，也可通过自定义配置类扩展功能。

2. spring-security-oauth2-client #

这是专门实现OAuth2客户端的模块。

• 核心能力：支持对接第三方OAuth2授权服务器（如GitHub、Google、企业内部SSO系统），实现第三方登录、获取访问/刷新令牌、验证用户身份信息等功能。
• 适用场景：当你的应用需要作为OAuth2客户端，让用户通过第三方平台登录，或需要调用第三方OAuth2保护的API时，引入这个依赖。

3. spring-security-oauth2-jose #

JOSE是JSON Object Signing and Encryption的缩写，该模块专注于JWT（JSON Web Token）处理。

• 核心能力：提供JWT的生成、签名验证、加密解密（遵循JWS、JWE规范）、令牌解析等工具类与组件，是处理JWT的核心依赖。
• 适用场景：当你需要手动操作JWT（比如自定义生成JWT令牌、验证外部传入的JWT签名），或项目采用基于JWT的身份认证机制时，引入这个模块。

4. spring-boot-starter-oauth2-resource-server #

这是Spring Boot提供的OAuth2资源服务器启动器。

• 核心能力：自动配置资源服务器相关组件，支持验证客户端传入的JWT令牌，确保仅授权用户可访问受保护的API接口，同时支持权限校验。
• 适用场景：当你的项目是提供API服务的资源服务器，需要基于OAuth2/JWT保护接口，只允许携带有效令牌的请求访问时，引入这个依赖。

关于spring-security-config的适用场景 #

这个模块是Spring Security的配置核心模块，包含所有用于配置安全规则的API和类（比如SecurityFilterChain、UserDetailsService、AuthenticationManager等）。

• Spring Boot项目：spring-boot-starter-security已默认包含该依赖，无需单独引入，直接编写配置类即可。
• 纯Spring项目（非Spring Boot）：手动配置Spring Security安全规则时，必须单独引入这个依赖，才能编写自定义安全配置。

内容的提问来源于stack exchange，提问作者Sara Selim