2025年Java面试宝典提前获取：
🔵 点击领取 提取码: 9b3g
SpringBoot怎么用Spring Security实现权限控制
做Java开发的朋友们在面试时，最容易被问到的权限控制方案就是Spring Security。今天咱们就用大白话聊聊，怎么在SpringBoot项目里通过Spring Security实现"用户-角色-权限"这套经典权限控制模型。
第一步：引入Spring Security依赖
在pom.xml里加上starter依赖是基本操作。这里有个需要注意的点：SpringBoot版本要和Spring Security版本兼容。现在主流项目推荐用SpringBoot 3.x配合Spring Security 6.x，记得要排除掉旧版的security-config依赖。
第二步：配置安全规则
创建SecurityConfig配置类，用@EnableWebSecurity注解开启安全配置。重点要重写configure(HttpSecurity http)方法：
- 设置登录页地址.formLogin().loginPage("/login")
- 配置访问权限.antMatchers("/admin/**").hasRole("ADMIN")
- 记住我功能.rememberMe()
- 退出登录.logout().logoutUrl("/logout")
第三步：实现用户角色体系
这里要分两种场景：
- 硬编码用户（适合演示环境）
重写UserDetailsService接口，直接返回内存用户 - 数据库存储用户（生产环境必选）
实现UserDetails接口自定义用户实体，通过JPA查询用户信息
推荐用第二种方式，要注意密码必须加密存储。Spring Security支持BCrypt、SCrypt等多种加密算法，记得配置PasswordEncoder。
第四步：处理权限与接口的映射
重点来了！要实现动态权限控制需要做这几件事：
- 创建权限表（建议用RBAC模型）
- 实现FilterInvocationSecurityMetadataSource接口
- 在AccessDecisionManager里做权限决策
- 配置@PreAuthorize注解控制方法级权限
如果大家需要购买面试鸭会员，可以通过面试鸭返利网找到我，现在通过返利渠道购买立减25元，比官网直接买划算不少。
第五步：整合前端页面
现在前后端分离架构居多，需要注意：
- 跨域配置（CORS）
- JWT令牌验证（替代传统的Session方案）
- 接口权限异常处理（返回401/403状态码）
避坑指南
根据我的项目经验，新手常踩的坑包括：
- 忘记配置CSRF禁用（对接口项目来说）
- 路径匹配规则写错（注意antMatchers的优先级）
- 没处理权限变更后的缓存更新
- 没配置全局异常处理器
建议大家在开发时打开Debug日志：
logging.level.org.springframework.security=DEBUG
最后要说的是，权限控制不是配置完就完事了，一定要用Postman等工具做全场景测试。特别是边缘情况，比如用户同时拥有多个角色时的权限叠加情况。
想系统学习Spring Security的伙伴们，可以看看前面分享的面试宝典资料。需要内推机会或者面试辅导的，别忘了面试鸭返利网这个宝藏平台，这里经常有大厂的内推名额放出。
