Spring Boot表单认证自定义实现内容及配置编译报错咨询

一、表单认证需自行实现的核心内容 #

基于DaoAuthenticationProvider的表单认证，你只需要确保以下几个核心组件配置到位：

• 实现UserDetailsService：你的AppUserDetailsService已经实现了这个接口，关键是要正确从NoSQL数据库中查询用户信息，返回的UserDetails对象必须包含：
  • 正确的用户名
  • 经过加密的密码（要和你配置的PasswordEncoder匹配）
  • 用户的权限集合（比如GrantedAuthority列表，用于后续权限校验）
• 配置PasswordEncoder：必须指定一个密码加密器（比如BCryptPasswordEncoder），并且要同时关联到DaoAuthenticationProvider和用户注册/密码修改的业务逻辑中（确保存库的密码是加密后的）
• 注册DaoAuthenticationProvider：将其注入到Spring容器，或在SecurityFilterChain配置中关联到AuthenticationManager
• 表单登录基础配置：允许登录接口（默认是/login）匿名访问，否则无法发起登录请求；如果需要自定义登录成功/失败后的行为，可以配置successHandler或failureHandler

另外你之前测试未成功，大概率是Postman请求格式问题：默认表单登录接收x-www-form-urlencoded格式的username和password参数，如果你用了JSON格式提交，需要额外配置UsernamePasswordAuthenticationFilter来支持，或者切换请求格式测试。

二、解决access方法的编译错误 #

这个错误是Spring Security 6.x版本的兼容性问题：6.x移除了access(String)方法（该方法在5.x中可用），官方文档如果是针对5.x的，就会出现你看到的写法差异。解决方式分两种：

1. 直接使用权限校验快捷方法 #

如果你的权限规则是简单的角色/权限校验，直接替换成对应的快捷方法即可：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/admin/**").hasRole("ADMIN")
            .requestMatchers("/user/**").hasAuthority("USER")
            .anyRequest().authenticated()
        )
        .formLogin(form -> form
            .permitAll()
        );
    return http.build();
}

2. 使用AuthorizationManager实现复杂表达式 #

如果需要使用SpEL表达式（比如旧写法的access("hasRole('ADMIN') and hasAuthority('EDIT')")），需要通过SecurityExpressionAuthorizationManager来实现：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    SecurityExpressionAuthorizationManager<RequestAuthorizationContext> expressionManager = 
        new SecurityExpressionAuthorizationManager<>("hasRole('ADMIN') and hasAuthority('EDIT')");
    
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/admin/edit").access(expressionManager)
            .anyRequest().authenticated()
        )
        .formLogin(form -> form
            .permitAll()
        );
    return http.build();
}

确认你的Spring Security版本，如果是6.x以上，必须使用上述新写法；如果是5.x，access(String)是可以正常使用的，可能是你依赖版本和文档版本不匹配导致的疑问。

内容的提问来源于stack exchange，提问作者the-frank