关于Spring Security自动生成安全密码的技术疑问

嘿，这个场景太常见了，刚上手Spring Boot Security的朋友几乎都会碰到这个问题，我来给你逐个解释清楚：

1. 每次授权密码不同，其他应用如何调用我的服务？ #

其实默认生成的随机密码就是个开发阶段的临时方案——如果没有提前配置固定的认证信息，Spring Security就会自动生成这么一个随机密码，本意是帮你快速启动服务做本地测试，但确实没法让其他应用稳定调用：毕竟每次重启密码都变，总不能每次都去日志里抄密码填到调用方吧？所以这个情况只适合你自己本地手动测试接口，要是需要其他服务调用，必须赶紧配置固定认证信息。

2. 这仅为开发环境特性，不适用于生产环境吗？ #

没错！绝对不能用在生产环境。这个随机密码的触发逻辑是：当Spring Boot检测到你没有自定义任何用户认证配置的时候，才会自动生成。生产环境里，你肯定需要更严谨的认证方案——比如数据库存储用户信息、集成OAuth2、JWT令牌等等，就算是最简单的固定密码，也得自己配置，不可能依赖这种重启就变的随机值，不然服务重启一次，所有客户端都得换密码，完全没法正常运行。

3. 如何配置固定的应用密码以避免每次重启手动更新？ #

有两种常用的简单方式，看你习惯哪种：

方式一：通过配置文件（application.properties/application.yml） #

直接在配置文件里添加用户认证信息：
如果是.properties文件：

spring.security.user.name=your-username
spring.security.user.password=your-fixed-password
# 还可以配置角色，比如
spring.security.user.roles=ADMIN,USER

如果是.yml文件：

spring:
  security:
    user:
      name: your-username
      password: your-fixed-password
      roles: ADMIN, USER

注意：生产环境里不要直接写明文密码！可以用Spring的密码加密方式，比如把BCrypt加密后的密码填进去，配置时加上{bcrypt}前缀，例如password={bcrypt}$2a$10$EblZqNptyYvcLm/VwDCVAuBjzZOI7khzdyGPBr08PpIi0na624b8.

方式二：通过Java配置类 #

如果需要更灵活的配置（比如多个用户、自定义角色权限），可以写一个Security配置类：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;

@Configuration
public class SecurityConfig {

    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails user = User.withUsername("your-username")
                .password(passwordEncoder().encode("your-fixed-password"))
                .roles("ADMIN", "USER")
                .build();
        return new InMemoryUserDetailsManager(user);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

这种方式用内存存储用户信息，适合开发或小型场景，生产环境建议换成基于数据库的UserDetailsService实现。

内容的提问来源于stack exchange，提问作者nortontgueno