1、pom.xml增加配置

老套路，增加spring security资源坐标：

 	<!-- spring security -->
	<dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-security</artifactId>
	</dependency>

2、先创建demo控制器

demo控制器返回各页面及相关结果：

package com.whowii.website4.manage.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;

@Controller
@RequestMapping("/manage/demo")
public class DemoController {
	@GetMapping("/index")
	public String index() {
		// 默认首页，谁都可以访问
		return "/manage/demo/demo-index";
	}

	@GetMapping("/login")
	public String login() {
		// 登录页面，谁都可以访问
		return "/manage/demo/demo-login";
	}

	@GetMapping("/error")
	@ResponseBody
	public String error() {
		// 登录失败页面，所有用户登录失败时提示错误信息
		return "登录失败，账号密码错误";
	}

	@GetMapping("/hello")
	@ResponseBody
	public String hello() {
		// hello 请求，任务用户都可以访问
		return "hello";
	}

	@GetMapping("/info1")
	@ResponseBody
	public String info1() {
		// 信息页面，只有 ADMIN 角色才能访问
		return "admin info1";
	}

	@GetMapping("/info2")
	@ResponseBody
	public String info2() {
		// 信息页面，只有 USER 角色才能访问
		return "user info2";
	}

}

/manage/demo/index：首页，对应的视图为demo-index.html

/manage/demo/login：登录页面，对应的视图为 demo-login.html

/manage/demo/error：登录失败提示页面，对应的视图为

/manage/demo/hello：hello world页面，所有用户都可以访问

扫描二维码关注公众号，回复： 4964600 查看本文章

/manage/demo/info1：admin 角色才可以访问的信息页面

/manage/demo/info2：user角色才可以访问的信息页面

3、创建视图页

3.1 demo-index.html

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>demo - index</title>
</head>
<body>
    <div class="starter-template">
        <h1>Spring Boot +Spring Security 示例</h1>
        <h2>1. 打开 <a href="/manage/demo/hello">游客页面（/manage/demo/hello）</a></h2>
        <h2>2. 打开 <a href="/manage/demo/info1">管理员页面（/manage/demo/info1）</a></h2>
        <h2>3. 打开 <a href="/manage/demo/info2">用户页面（/manage/demo/info2）</a></h2>
        <br/><br/>
        <h2>4. 打开 <a href="/manage/demo/login">登录页面（/manage/demo/login）</a></h2>
        <h2>5. 打开 <a href="/manage/demo/exit">退出登录（/manage/demo/exit）</a></h2>
    </div>
</body>
</html>

首页只是做了各页面的链接，方便跳转。

3.2 demo-login.html

<!DOCTYPE html>
<html lang="zh-CN">
<head>
<meta charset="UTF-8">
</head>
<body>
    <form method="post" action="/manage/demo/login">
        <fieldset>
            <h1>登录</h1>
            <div class="form-group">
                <input type="text" name="username" id="username" class="form-control input-lg" placeholder="用户名" required="true" autofocus="true" />
            </div>
            <div class="form-group">
                <input type="password" name="password" id="password" class="form-control input-lg" placeholder="密码" required="true" />
            </div>
            <div class="row">
                <div class="col-xs-6 col-sm-6 col-md-6">
                    <input type="submit" class="btn btn-lg btn-primary btn-block" value="登录" />
                </div>
            </div>
        </fieldset>
    </form>
</body>
</html>

登录页面（表单），需要注意两点：一是用户名和密码字段名，二是表单提交到的action，这与配置对应，后方会说到。

4、继承 WebSecurityConfigurerAdapter

package com.whowii.website4.security;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		System.out.println("SecurityConfig.configure > http");
		
		http.csrf().disable()
			.authorizeRequests()
				.antMatchers("/manage/demo/hello").permitAll() // 此页面允许任何人访问，即使未登录
				.antMatchers("/manage/demo/info1").hasAnyRole("ADMIN") // 仅允许 ADMIN 角色的用户访问
				.antMatchers("/manage/demo/info2").hasAnyRole("USER") // 仅允许 USER 角色的用户访问
				.anyRequest().denyAll() // 其他资源禁止访问
				.and()
			.formLogin()
				.loginPage("/manage/demo/login") // 自定义登录页面
				.failureUrl("/manage/demo/error") // 登录错误页面
				.permitAll() // 允许任何用户访问
				.and()
			.logout()
				.logoutUrl("/manage/demo/exit") // 退出登录
				.logoutSuccessUrl("/manage/demo/index") // 退出登录成功返回的页面
				.permitAll() // 也允许任务用户访问
				.and()
			.exceptionHandling();
	}

	@Override
	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
		System.out.println("SecurityConfig.configure > withUser");
		
		auth.inMemoryAuthentication()
			.passwordEncoder(new BCryptPasswordEncoder())
			.withUser("admin").password(new BCryptPasswordEncoder().encode("123")).roles("ADMIN")
			.and()
			.withUser("user").password(new BCryptPasswordEncoder().encode("123")).roles("USER");
	}

}

仔细看下相关的配置，定义了登录页面、登录失败页面、退出页面、退出成功页面等相关配置，这与控制器相对应。

其中，配置了2个固定的用户，分别是 admin（密码是123），角色是ADMIN，第二个用户是user（密码是123），角色是USER。