spring Security从两个角度解决安全问题：
- 使用servlet中的filter来保护web请求，并限制url级别的访问。
- 使用Aop的方法，借助于对象代理和使用通知，来限制用户访问。
Spring Security可以使用java进行简单的配置
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{}
@EnableWebSecurity注解将会启动Web安全功能，但它本身并没有什么功能。Spring Security必须配置在一个实现了WebSecurityConfigurer的bean中，或者扩展WebSecurityConfigurerAdapter，扩展该类是最简单的配置方法。
我们可以通过重载WebSecurityConfigurerAdapter中的一个或多个方法来指定Web安全的细节。
WebSecurityConfigurerAdapter的三个configure()方法：configure(WebSecurity)、configure(HttpSecurity)、configure(AuthenticationManagerBuilder)
三个实现类分别作用为：configure(AuthenticationManagerBuilder)配置user-detail服务，configure(WebSecurity)配置Spring Security的filter链，configure(HttpSecurity)配置如何通过拦截器保护请求。
每一个用户都应该具有自己信息存储的地方，这样可以方便的进行认证，个性化定制等等。
Spring Security可以实现内存、关系型数据库以及LDAP用户存储的定制。
基于内存的用户存储
继承WebSecurityConfigurerAdapter需要重写的第一个方法就是关于用户细节的。
通过inmMemoryAuthentication()方法，我们可以启用、配置并任意填充基于内存的用户存储。
@Configuration
@EnableWebMvcSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception{
auth.inMemoryAuthentication().withUser("user").password("password").roles("USER").and().withUser("admin").password("password").roles("USER","ADMIN");
}
}
withUser()方法返回的是UserDetailsManagerConfigurer.UserDetailsBuilder，这个对象提供了多个进一步配置用户的方法，如上面的为用户设置密码的password()方法、授予用户多个角色权限的roles()方法。
常见的方法有，accountLocked(boolean)判断用户是否锁定，authorites()授予某一个用户一项或多项权限。soles()授予某个用户一项或多项权限
基于数据库表的认证
protected void configure(Authentication auth) throws Exception{
auth
.jdbcAuthentication()
.dataSource(dataSource)
.usersByUsernameQuery("select username,password,true from Spitter where username=?")
.authoritiesByUsernameQuery("select username,'ROLE_USER' from Spitter where username=?");
}
我们使用JDBCAuthentication()方法来实现一JDBC为支撑的用户存储，必须要配置的只是一个DataSource，就能访问关系型数据库了
passwordEncoder()方法可以接受Spring Security中PasswordEncoder接口的任意实现。Spring Security的加密模块包括三个这样的实现：BCryptPasswordEncoder、NoOpPasswordEncoder和StandardPasswordEncoder。
基于LDAP认证
protected void configure(Authentication auth) throws Exception{
auth
.ldapAuthentication()
.userSearchFilter("(uid={0})")
.groupSearchFilter("member={0}");
}
配置自定义的用户服务
如果我们需要认证的用户存储在非关系型数据库中，如Mongo或Neo4j，那么我们需要提供一个自定义的UserDetailsService接口实现。UserDetailsService接口非常简单：
public interface UserDetailsService{
UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
}
我们需要做的就是实现loadUserByUsername()方法，根据给定的用户名来查找用户。该方法会返回代表给定用户的UserDetails对象。
@Autowired
SpitterRepository spitterRepository;
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception{
auth.userDetailsService(new SpitterUserSevice(spitterRepository));
}