认证授权：从单体到微服务的必过关卡

在后端开发的实际工作与技能进阶中，认证与授权始终是绕不开的核心难点。许多开发者在单体架构下依靠简单的 Session 或基础拦截器就能维持系统运转，但一旦进入前后端分离或微服务集群场景，往往会对 JWT 签发、OAuth2 协议选型以及分布式会话管理感到无从下手。本课程聚焦 Spring Security 5.x 与 OAuth2 企业级应用，旨在填补这一从“临时拼凑”到“规范设计”的能力断层。内容紧贴当前互联网企业主流技术栈，梳理了从单体权限控制向微服务统一认证中心演进的完整逻辑，帮助学习者建立系统化的安全架构视野，而非碎片化的 API 调用记忆。

门槛、路径与资料配合

学习本课前，建议读者已熟练掌握 Spring Boot 基础开发及 JDBC 简单应用，无需深入理解底层安全源码，但需具备基本的 Web 请求处理概念。建议学习顺序如下：首先精读 Spring Security 核心过滤器链原理，彻底搞懂 AuthenticationManager 与 UserDetailsService 的协作机制，这是后续所有配置的基石；其次重点攻克 OAuth2 的四种授权模式，特别是 Authorization Code 模式在前后端分离中的交互流程；最后通过单体到微服务的实战案例，理解资源服务器与认证中心的职责分离。配套资料中的代码示例务必动手复现，不要只看不练。建议在每个模块结束后，尝试脱离教程独立实现一个带权限控制的接口，并自行调试 Token 过期刷新逻辑，通过反复犯错与修正来内化知识。资料包可作为查漏补缺的工具书，在遇到具体报错时对照查阅最佳实践。

学完能独立做什么

完成本课程学习后，你将具备独立设计并落地企业级安全方案的能力。具体而言，能够基于 Spring Security 构建符合安全规范的认证系统，包括自定义登录逻辑、细粒度的角色权限控制以及防止 CSRF 等常见攻击的安全策略。同时，你将熟练掌握 OAuth2 协议的集成方式，能够搭建独立的认证中心，实现第三方登录接入，或作为资源服务器对接其他微服务，解决跨服务身份信任问题。你将不再依赖框架默认配置，而是能够根据业务需求灵活调整安全过滤器，排查复杂的鉴权异常。这种从单体到分布式的权限管理能力，将显著提升你在后端架构设计中的核心竞争力，使你在面对复杂的企业级项目时，能够自信地给出可靠的安全解决方案。

课程介绍

Spring Security+OAuth2 精讲，打造企业级认证与授权，。认证与授权是所有应用都必须要实现的，也是所有后端工程师必备的技能，本课将结合前后端分离的权限管理应用，基于从单体到微服务的演进，精讲主流安全框架 Spring Security5.x 的核心技术，覆盖目前企业主流认证授权的方方面面。

课程目录

├── 第1章 关于这门课，你需要知道的/
│ ├── [ 24M] 1-1课前须知，这里有你需要了解的一切
│ ├── [ 22M] 1-3环境配置
│ ├── [ 38M] 1-4工程结构
│ └── [ 15M] 1-22022加餐，学前必读
├── 第2章 初识 Spring Security/
│ ├── [ 33M] 2-1认证和授权的概念
│ ├── [ 47M] 2-2过滤器和过滤器链
│ ├── [ 46M] 2-3HTTP请求的结构
│ ├── [ 41M] 2-4HTTP响应和HTTPBasicAuth
│ ├── [ 56M] 2-5安全配置
│ ├── [ 70M] 2-6定制登录页
│ ├── [ 69M] 2-7csrf,logout和rememberMe的设置
│ ├── [ 83M] 2-8登录成功及失败的处理
│ └── [107M] 2-9自定义Filter
├── 第3章
│ ├── [ 21M] 3-1
│ ├── [ 53M] 3-2
│ ├── [ 99M] 3-3验证注解和自定义验证注解
│ ├── [ 70M] 3-4
│ ├── [ 50M] 3-5验证消息的国际化
│ ├── [ 35M] 3-6异常的处理
│ └── [ 28M] 3-7多个安全配置共存
├── 第4章 深入 Spring Security 认证/
│ ├── [ 65M] 4-1核心组件-SecurityContextSecurityContextHolderAuthentication
│ ├── [ 65M] 4-2UserDetails、UserDetailsService和jdbcAuthentication
│ ├── [ 38M] 4-3定制化数据库
│ ├── [ 97M] 4-4深度定制化上-实现UserDetails和GrantedAuthority
│ ├── [ 92M] 4-5深度定制化下-UserDetailsService和UserDetailsPasswordService
│ ├── [ 72M] 4-6环境和环境变量
│ └── [ 41M] 4-7自动化测试
├── 第5章 构建基于 JWT 的认证/
│ ├── [ 90M] 5-1认证流程和源码解析
│ ├── [103M] 5-2LDAP配置和多AuthenticationProvider共存
│ ├── [ 68M] 5-3JWT的概念和创建以及解析
│ ├── [ 63M] 5-4访问令牌和刷新令牌以及JWT外部配置
│ ├── [ 83M] 5-5创建JwtFilter
│ ├── [ 55M] 5-6实现登录接口和刷新令牌接口(上)
│ ├── [ 66M] 5-7实现登录接口和刷新令牌接口(下)
│ └── [ 84M] 5-8完成注册接口
├── 第6章 基于角色的用户权限/
│ ├── [ 92M] 6-1多因子认证和TOTP
│ ├── [ 18M] 6-2云服务和多因子认证逻辑
│ ├── [ 77M] 6-3短信发送服务-阿里云和LeanCloud
│ ├── [ 45M] 6-4Email发送服务SMTP和API方式
│ ├── [ 56M] 6-5多因子认证逻辑—整体逻辑和实体类改造
│ ├── [ 75M] 6-6多因子认证逻辑—使用Redis缓存
│ ├── [ 88M] 6-7多因子认证逻辑—选择发送方式和验证
│ ├── [ 45M] 6-8前端集成—前后端的多工程配置
│ ├── [ 52M] 6-9前端集成—跨域处理
│ └── [ 96M] 6-10前端集成—源码解析和验证多因子登录
├── 第7章 基于数据库的 RBAC/
│ ├── [ 78M] 7-1授权的概念和安全表达式的应用
│ ├── [ 47M] 7-2方法级注解
│ ├── [ 42M] 7-3RBAC和角色分级
│ ├── [ 44M] 7-4数据库和实体类的RBAC改造
│ ├── [ 32M] 7-5元注解简化权限表达式的使用
│ ├── [ 36M] 7-6使用AOP动态刷新角色层级
│ ├── [ 30M] 7-7前端的安全
│ └── [ 32M] 7-8授权流程源码解析和用户组的思路扩展
├── 第8章 实现符合 OAuth 2 标准的授权服务器/
│ ├── [ 31M] 8-1OAuth2的主要角色和流程
│ ├── [ 22M] 8-2JWS和JWK
│ ├── [ 44M] 8-3搭建授权服务器（一）依赖和表结构
│ ├── [ 59M] 8-4搭建授权服务器（二）JWKS和RSA密钥对
│ ├── [ 65M] 8-5搭建授权服务器（三）授权服务器配置
│ ├── @
│ ├── [ 65M] 8-6前端为例详解授权码流程
│ ├── [ 65M] 8-7资源服务器的配置
│ ├── [ 55M] 8-8客户端登录-社交登录和二维码登录原理
│ └── [ 74M] 8-9资源服务器的访问
├── 第9章 关于Spring Security你可以了解的更多/
│ ├── [ 35M] 9-1Keyloak简介
│ ├── [ 33M] 9-2SSO单点登录
│ ├── [100M] 9-3微服务间的请求调用和拦截器实现token刷新
│ └── [ 18M] 9-4总结和回顾
├── 第10章 SpringBoot & SpringSecurity 升级实战/
│ ├── [ 32M] 10-1SpringBoot升级路线
│ ├── [ 46M] 10-2SpringBoot升级实战
│ ├── [ 49M] 10-3SpringSecurity5.7改造
│ └── [ 31M] 10-4Flyway数据版本管理
└── 第11章 Spring Authorization Server 授权服务器实战/
├── [ 38M] 11-1SpringAuthorizationServer概述
├── [ 45M] 11-2授权服务器安全配置
├── [ 42M] 11-3表单和加密
├── [ 59M] 11-4资源服务器
├── [ 43M] 11-5客户端实战（上）
├── [ 61M] 11-6客户端实战（下）
├── [ 69M] 11-7最简化授权服务器总结
├── [ 73M] 11-8OAuth2.1和OpenIdConnec以及PKCE概述
├── [ 62M] 11-9OpenIdConnect的定制（上）
├── [ 68M] 11-10OpenIdConnect的定制（下）
└── [ 76M] 11-11数据库版本的授权服务器
└── 资料代码/