Spring Security 认证与授权：从JWT到RBAC权限管理

## Spring Security核心架构 Spring Security提供认证和授权两大功能。架构基于Filter安全过滤器链，DelegatingFilterProxy委托FilterChainProxy管理有序SecurityFilterChain。认证流程：UsernamePasswordAuthenticationFilter封装凭证为Token传给AuthenticationManager，DaoAuthenticationProvider调用UserDetailsService加载用户信息，PasswordEncoder验证密码。认证成功生成Authentication存入SecurityContextHolder。JWT架构中登录后生成JWT含用户ID、角色、过期时间，后续请求Bearer Token由JwtAuthenticationFilter验证签名有效期。 ## 授权机制与RBAC设计 RBAC通过角色分组权限：@PreAuthorize("hasRole('ADMIN')")限制ADMIN角色访问。权限细分为资源:操作形式如article:read/article:write/article:delete。动态权限从数据库或缓存实时加载权限集合。URL级权限通过HttpSecurity的authorizeRequests配置。方法级通过@EnableGlobalMethodSecurity在业务方法注解声明。OAuth 2.0 Resource Server通过JWT Token验证确认合法性。OIDC在OAuth 2.0上增加id_token和UserInfo端点补充身份层。Token Exchange实现最小权限原则的服务间调用。 ## 安全实践与性能优化 密码用BCryptPasswordEncoder或Argon2哈希绝对不用MD5/SHA。CSRF在RESTful API可禁用（用Token非Cookie认证）但Session应用必须启用。CORS精确设Allowed Origin避免宽松配置。安全头CSP/X-Content-Type-Options/X-Frame-Options防御XSS和点击劫持。JWT Access Token过期15到30分钟短令牌，Refresh Token 7天以上配Rotation防重放。权限数据缓存Redis设合理过期短于Token有效期，变更时主动清缓存。Filter Chain顺序影响性能：公开路径放前面快速通过。