Spring Boot 新手必看：解决默认登录页问题

理解 Spring Boot 默认安全机制

对于初次接触Spring Boot的开发者而言，在启动应用程序后，尝试访问localhost:8080（或自定义端口，如8090）时，可能会惊讶地发现页面并非预期中的空白页或自定义内容，而是一个要求输入用户名和密码的登录界面。这并非错误，而是Spring Boot的默认安全机制在起作用。

当您的Spring Boot项目中引入了spring-boot-starter-security依赖时，Spring Security会自动配置并启用一系列安全功能。其中一项核心功能便是为所有HTTP端点提供基本的身份验证保护。为了简化开发者的初始体验，Spring Security在启动时会生成一个随机的、一次性使用的密码，并将其打印在应用程序的控制台日志中。默认的用户名通常是user。这种设计旨在提供一个开箱即用的安全基线，确保您的应用程序在部署之初就具备一定的保护。

获取默认登录凭证

要访问您的应用程序，您需要使用Spring Boot在启动时提供的默认凭证。

1. 用户名： 默认情况下，用户名为 user。

2. 密码： 密码是一个随机生成的一次性字符串，它会在应用程序启动时被打印到控制台或日志文件中。您需要在应用程序的启动日志中查找类似以下格式的输出：

   Using default security password: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX

   其中XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX就是您需要使用的密码。

   示例日志片段：

   ...
   2023-10-27 10:30:00.123 INFO  o.s.b.w.e.tomcat.TomcatWebServer - Tomcat initialized with port(s): 8080 (http)
   2023-10-27 10:30:00.456 INFO  o.s.s.c.a.web.builders.WebSecurityConfigurerAdapter$LazyPasswordEncoder - Using default security password: ce6c3d39-mf20-4w41-8e01-103166bb9nvc
   ...

   请注意，具体的日志格式和位置可能因Spring Boot版本和日志配置而异，但通常会在应用程序启动成功后不久显示。

3. 登录应用程序： 找到用户名user和对应的密码后，在浏览器中访问localhost:8080（或您的自定义端口），在弹出的登录框中输入这些凭证即可成功进入您的应用程序页面。

管理与自定义安全配置

在开发阶段，您可能不希望每次都输入密码，或者希望自定义安全行为。Spring Boot提供了灵活的方式来管理和修改默认的安全配置。

1. 临时禁用默认安全（仅限开发环境）

在开发早期，如果安全功能不是您的首要关注点，或者您只是想快速测试UI，可以临时禁用Spring Security的自动配置。

• 方法一：通过application.properties或application.yml配置

  在您的src/main/resources/application.properties文件中添加以下配置：

  spring.autoconfigure.exclude=org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration

  或者，在application.yml中：

  spring:
    autoconfigure:
      exclude: org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration

  这将阻止Spring Boot自动配置Spring Security，从而禁用默认的登录页面。

• 方法二：移除依赖（不推荐，除非您确定不需要Spring Security）

  如果您完全不需要Spring Security，可以直接从pom.xml（Maven）或build.gradle（Gradle）中移除spring-boot-starter-security依赖。

  Maven pom.xml 示例：

  
      org.springframework.boot
      spring-boot-starter-security
      
  

  Gradle build.gradle 示例：

  implementation 'org.springframework.boot:spring-boot-starter-security'
  // 暂时注释或删除此行以禁用

  注意： 禁用或移除Spring Security后，您的应用程序将不再受任何默认的安全保护。在生产环境中，强烈建议启用并正确配置安全。

2. 自定义安全配置

如果您需要更精细地控制安全行为（例如，定义自己的用户、角色、授权规则或自定义登录页面），您应该创建自己的Spring Security配置。

• 创建安全配置类

  通常，您会创建一个继承自WebSecurityConfigurerAdapter（适用于旧版本Spring Security）或直接定义SecurityFilterChain Bean（适用于Spring Security 5.7+及Spring Boot 3+）的配置类。

  示例（Spring Security 5.7+ / Spring Boot 3+）：

  import org.springframework.context.annotation.Bean;
  import org.springframework.context.annotation.Configuration;
  import org.springframework.security.config.annotation.web.builders.HttpSecurity;
  import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
  import org.springframework.security.web.SecurityFilterChain;
  
  @Configuration
  @EnableWebSecurity // 启用Spring Security的Web安全功能
  public class SecurityConfig {
  
      @Bean
      public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
          http
              .authorizeHttpRequests(authorize -> authorize
                  .requestMatchers("/", "/home").permitAll() // 允许访问根路径和/home
                  .anyRequest().authenticated() // 其他所有请求都需要认证
              )
              .formLogin(form -> form
                  .loginPage("/login") // 自定义登录页面路径
                  .permitAll() // 允许所有用户访问登录页面
              )
              .logout(logout -> logout
                  .permitAll()); // 允许所有用户注销
          return http.build();
      }
  
      // 如果需要，可以定义UserDetailsService和PasswordEncoder来管理用户
      // @Bean
      // public UserDetailsService userDetailsService() {
      //     UserDetails user = User.withDefaultPasswordEncoder()
      //             .username("myuser")
      //             .password("mypassword")
      //             .roles("USER")
      //             .build();
      //     return new InMemoryUserDetailsManager(user);
      // }
  }

  通过自定义SecurityFilterChain Bean，您可以精确地定义哪些URL需要认证，使用何种认证方式（如表单登录、HTTP Basic），以及如何处理授权等。一旦您提供了自己的安全配置，Spring Boot的默认安全配置就会被覆盖。

注意事项

• 生产环境考量： 默认生成的一次性密码仅适用于开发和快速测试。在生产环境中，您绝不应该依赖这种方式。务必配置健壮的用户管理系统（如数据库、LDAP）和安全的密码存储机制。
• 日志级别： 确保您的日志级别配置允许Spring Security打印出默认密码。如果日志级别过高（例如，只显示ERROR），您可能无法在控制台中看到密码。通常，INFO级别即可。
• 版本兼容性： Spring Security的API在不同版本间可能存在差异，特别是Spring Security 5.7+引入了SecurityFilterChain作为推荐的配置方式，取代了WebSecurityConfigurerAdapter。请根据您项目所使用的Spring Boot和Spring Security版本查阅相应的官方文档。

总结

当您在Spring Boot开发中遇到localhost:8080显示登录页面的情况时，请记住这通常是Spring Security默认行为的体现。通过查找控制台日志中的一次性密码（用户名user），您可以轻松登录。在后续开发中，根据您的需求，您可以选择临时禁用默认安全配置以简化开发流程，或通过自定义SecurityFilterChain来构建符合您应用程序需求的安全策略。理解和正确配置Spring Security是构建健壮、安全Spring Boot应用程序的关键一步。