目录一、需要掌握的二、详细指引1. 配置文件2. 查用户3. 在 Controller 里获取当前用户四、容易搞混的问题五、Security 报错解决方案Spring Security 是公司里“骨架化”程度最高的组件之一架构组会提供一个“认证授权中心”的 Maven 骨架archetype我们只需要改数据库表名如果要加字段配白名单路径哪些接口不需要登录写一个实现类告诉框架怎么从数据库查用户其他的比如 JWT 生成/校验、密码加密、Session 管理、过滤器链……统统不用你管全是现成的。一、需要掌握的层级需要掌握的内容开发必知1. 怎么配白名单/login、/register放行2. 怎么实现UserDetailsService查数据库3. 怎么获取当前登录用户信息面试必问认证流程用户→UsernamePasswordAuthenticationToken→AuthenticationManager→UserDetailsService排错必看401/403 的区别怎么从 SecurityContext 里取用户二、详细指引1. 配置文件只需要改这三行Configuration EnableWebSecurity public class SecurityConfig { Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http.authorizeHttpRequests(auth - auth // 我们只需要在这里加白名单 .requestMatchers(/api/login, /api/register, /swagger-ui/**).permitAll() .anyRequest().authenticated() ); return http.build(); } }2. 查用户唯一要写的核心逻辑Service public class MyUserDetailsService implements UserDetailsService { Autowired private UserMapper userMapper; Override public UserDetails loadUserByUsername(String username) { // 就写这一句从数据库查用户 User user userMapper.selectByUsername(username); if (user null) { throw new UsernameNotFoundException(用户不存在); } // 然后返回给框架框架会自动校验密码 return new org.springframework.security.core.userdetails.User( user.getUsername(), user.getPassword(), new ArrayList() // 权限列表 ); } }3. 在 Controller 里获取当前用户直接拿GetMapping(/me) public UserInfo getCurrentUser() { // 就这么拿当前登录用户不用自己解析Token Authentication auth SecurityContextHolder.getContext().getAuthentication(); String username auth.getName(); return userService.findByUsername(username); }四、容易搞混的问题问题答案401 和 403 什么区别401 没登录未认证403 登录了但权限不够已认证但无权限SecurityContext 里拿不到用户检查过滤器链是否执行了或者是不是在/permitAll()的路径里我怎么区分普通用户和管理员在 User 表里加一个role字段然后在loadUserByUsername里把角色塞进权限列表框架会自动拦截五、Security 报错解决方案先检查/login放行了没有没放行就一直在登录页循环UserDetailsService里查到的用户密码对不对错一个就 401密码加密方式一致吗明文和 BCrypt 别混用只要把这三条记牢Spring Security 这块就算过关了