Spring Security: Полное руководство по настройке авторизации для Java-разработчиков

В мире Java-разработки Spring Security давно стал стандартом де-факто для защиты приложений. Но именно настройка авторизации — процесса определения, что может делать аутентифицированный пользователь — часто вызывает больше всего вопросов. В этом руководстве мы разберем не только базовые концепции, но и продвинутые сценарии, которые помогут вам построить надежную систему прав доступа для вашего приложения.

Что такое авторизация в Spring Security?

Если аутентификация отвечает на вопрос "Кто вы?", то авторизация решает "Что вам разрешено?". После того как пользователь подтвердил свою личность (через логин/пароль, OAuth2, JWT-токен и т.д.), система должна определить, к каким ресурсам и операциям у него есть доступ. Spring Security предоставляет мощный, но гибкий механизм для реализации различных моделей авторизации.

Основные компоненты авторизации

1. Роли (Roles) и Привилегии (Authorities)

Spring Security различает эти два понятия, хотя часто их используют как синонимы:

• GrantedAuthority — базовая "привилегия", строка, описывающая действие (например, "READ_POST", "DELETE_USER")
• Role — по сути, та же привилегия, но с префиксом "ROLE_" ("ROLE_ADMIN", "ROLE_USER")

2. Voting-система

Spring Security использует систему "голосования" для принятия решений об авторизации. Различные AccessDecisionVoter проверяют, имеет ли пользователь необходимые права, и возвращают свой "вердикт".

Практическая настройка авторизации

Конфигурация через SecurityConfig

Современный подход — конфигурация через Java-конфиг с аннотацией @EnableWebSecurity:

@Configuration
@EnableWebSecurity
public class SecurityConfig {
  @Bean
  public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
      .authorizeHttpRequests(auth -> auth
        .requestMatchers("/admin/**").hasRole("ADMIN")
        .requestMatchers("/api/private/**").hasAnyRole("USER", "ADMIN")
        .requestMatchers("/public/**").permitAll()
        .anyRequest().authenticated()
      )
      .formLogin(Customizer.withDefaults());
    return http.build();
  }
}

Методологические аннотации

Для более тонкого контроля на уровне методов используйте аннотации:

1. @PreAuthorize — проверка перед выполнением метода
2. @PostAuthorize — проверка после выполнения (редко используется)
3. @Secured — более старая аннотация, поддерживающая только роли
4. @RolesAllowed — JSR-250 стандарт

Пример с SpEL-выражениями:
@PreAuthorize("hasRole('ADMIN') or @securityService.isResourceOwner(#resourceId)")
public void deleteResource(Long resourceId) { ... }

Продвинутые сценарии

Кастомные voters

Когда стандартных возможностей недостаточно, вы можете создать собственный voter:

@Component
public class CustomVoter implements AccessDecisionVoter