Spring Security 6如何对接外部数据库实现登录认证？

步骤1：实现UserDetailsService（从数据库加载用户） #

首先需要实现UserDetailsService接口，负责从外部数据库查询用户信息，并转换为Spring Security所需的UserDetails对象：

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    // 构造注入依赖
    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 从数据库查询用户，这里假设你的实体类是User，Repository有findByUsername方法
        User dbUser = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("用户不存在: " + username));

        // 将数据库实体转换为UserDetails对象
        return User.withUsername(dbUser.getUsername())
                .password(dbUser.getPassword())
                // 假设你的User实体中roles是逗号分隔的角色字符串，比如"SCHUELER"或"LEHRER,VERWALTUNG"
                .roles(dbUser.getRoles().split(","))
                .build();
    }
}

步骤2：修改SecurityConfiguration配置类 #

Spring Security 6已废弃WebSecurityConfigurerAdapter，改用注册Bean的方式配置认证和授权逻辑：

package de.gabriel.vertretungsplan.security;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfiguration {

    private final UserDetailsService userDetailsService;

    // 构造注入UserDetailsService
    public SecurityConfiguration(UserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(requests -> requests
                        .requestMatchers("/vertretungsplan").hasAnyRole("SCHUELER", "LEHRER", "VERWALTUNG")
                        .requestMatchers("/account").hasAnyRole("LEHRER", "VERWALTUNG")
                        .requestMatchers("/administration").hasRole("VERWALTUNG")
                        .requestMatchers("/").permitAll()
                        .anyRequest().authenticated()
                )
                .formLogin() // 启用默认表单登录，可自定义登录页
                .and()
                .authenticationProvider(authenticationProvider()); // 关联数据库认证提供者

        return http.build();
    }

    // 配置基于数据库的认证提供者
    @Bean
    public AuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(userDetailsService);
        authProvider.setPasswordEncoder(passwordEncoder());
        return authProvider;
    }

    // 配置密码编码器（生产环境禁止使用NoOpPasswordEncoder）
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

关键说明 #

1. 替代WebSecurityConfigurerAdapter：
   旧版本继承类重写方法的方式已被废弃，现在采用注册独立Bean的方式配置认证逻辑，更灵活且符合Spring Bean管理规范。

2. 核心组件作用：

   • UserDetailsService：负责从数据库获取用户账号、密码、角色等信息，是数据库认证的核心。
   • DaoAuthenticationProvider：Spring Security提供的标准数据库认证处理器，自动完成用户名匹配、密码校验逻辑。
   • PasswordEncoder：必须配置，用于密码加密和校验，绝对禁止生产环境使用NoOpPasswordEncoder（明文存储密码），推荐使用BCryptPasswordEncoder（单向哈希加密）。

3. 密码存储要求：
   数据库中存储的密码必须是PasswordEncoder.encode("明文密码")生成的加密字符串，否则DaoAuthenticationProvider会校验失败。

4. 自定义登录页（可选）：
   如果需要替换默认登录页面，可修改formLogin配置：

   .formLogin(form -> form
           .loginPage("/login") // 自定义登录页的请求路径
           .defaultSuccessUrl("/vertretungsplan") // 登录成功后的默认跳转页
           .permitAll() // 允许未认证用户访问登录页
   )
   

内容的提问来源于stack exchange，提问作者Gabriel