Spring Boot中能否整合Spring Security与REST API？哪种方案更优？

Spring Security 本身就提供了现成的认证相关端点，完全不需要你自己手写认证的RESTful API。作为新手，这其实是个非常省心的选择：

• 它默认就支持表单登录的REST适配，你只需要简单配置就能把默认的登录端点改成接收JSON请求、返回JSON响应的REST接口。
• 如果后续要升级到JWT、OAuth2这类更复杂的认证方式，Spring Security也有对应的模块提供开箱即用的端点，不用从零开始写。

举个极简的配置例子，快速实现一个JSON登录的REST认证端点：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable()) // REST API通常关闭CSRF
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/**").authenticated()
                .anyRequest().permitAll()
            )
            .formLogin(form -> form
                .loginProcessingUrl("/api/login") // 指定REST登录端点
                .successHandler((req, res, auth) -> {
                    res.setContentType("application/json");
                    res.getWriter().write("{\"status\":\"success\",\"message\":\"Login completed\"}");
                })
                .failureHandler((req, res, ex) -> {
                    res.setStatus(HttpStatus.UNAUTHORIZED.value());
                    res.setContentType("application/json");
                    res.getWriter().write("{\"status\":\"fail\",\"message\":\"" + ex.getMessage() + "\"}");
                })
                .permitAll()
            );
        return http.build();
    }

    // 模拟用户数据源，实际项目可替换为数据库查询
    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails demoUser = User.withUsername("demo")
            .password("{bcrypt}$2a$10$EixZaY3sT7pLV9j3R8e4M.2Q8w5Gp8yOeJ6D5Q7x5yOeJ6D5Q7x5y") // 加密后的密码"demo123"
            .roles("USER")
            .build();
        return new InMemoryUserDetailsManager(demoUser);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

配置完后，POST请求/api/login带上username和password的JSON参数，就能完成认证，完全不用自己写控制器。

选择Spring Security内置端点的优势： #

• 避免重复造轮子：Spring Security已经封装了认证的核心逻辑——密码加密、会话管理、权限校验、安全防护（比如防止暴力破解），自己写很容易出现漏洞（比如明文存密码、会话泄露）。
• 节省时间精力：作为新手，你可以把更多精力放在业务API的开发上，不用花时间设计认证流程、处理各种边界情况。
• 扩展性极强：如果后续需要升级认证方式（比如从会话认证改成JWT，或者接入第三方登录），Spring Security有成熟的扩展方案，不用重构原有代码。
• 社区支持完善：遇到问题时，能找到大量的教程、文档和解决方案，毕竟Spring Security是Spring生态的核心组件。

什么时候适合自己写全REST API认证？ #

只有当你需要完全自定义认证流程的时候（比如特殊的多因子认证逻辑、非标准的令牌格式、和现有 legacy 系统的深度集成），才需要考虑自己手写认证API。但对新手来说，这种场景非常少见，先把Spring Security的内置功能用熟再考虑自定义也不迟。

内容的提问来源于stack exchange，提问作者Gherbi Hicham