Spring Boot 新手指南：解决本地开发环境默认登录页面的困惑-小浪学习网

Spring Boot 新手指南：解决本地开发环境默认登录页面的困惑

本教程旨在帮助spring Boot新手解决在本地开发环境中访问localhost:8080时遇到的默认登录页面问题。当spring boot应用启动时，如果引入了spring security依赖，它会自动启用默认安全配置，导致出现登录界面。本文将详细指导您如何从控制台日志中找到默认用户名（user）和一次性密码，从而成功登录并访问您的应用程序，并提供禁用或自定义安全配置的指导。

理解 Spring Boot 默认安全机制

对于初次接触Spring Boot的开发者而言，在启动应用程序后，尝试访问localhost:8080（或自定义端口，如8090）时，可能会惊讶地发现页面并非预期中的空白页或自定义内容，而是一个要求输入用户名和密码的登录界面。这并非错误，而是Spring Boot的默认安全机制在起作用。

当您的Spring Boot项目中引入了spring-boot-starter-security依赖时，Spring Security会自动配置并启用一系列安全功能。其中一项核心功能便是为所有http端点提供基本的身份验证保护。为了简化开发者的初始体验，Spring Security在启动时会生成一个随机的、一次性使用的密码，并将其打印在应用程序的控制台日志中。默认的用户名通常是user。这种设计旨在提供一个开箱即用的安全基线，确保您的应用程序在部署之初就具备一定的保护。

获取默认登录凭证

要访问您的应用程序，您需要使用Spring Boot在启动时提供的默认凭证。

用户名： 默认情况下，用户名为 user。
密码： 密码是一个随机生成的一次性字符串，它会在应用程序启动时被打印到控制台或日志文件中。您需要在应用程序的启动日志中查找类似以下格式的输出：
```
Using default security password: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
```
其中XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX就是您需要使用的密码。

示例日志片段：
```
... 2023-10-27 10:30:00.123 INFO  o.s.b.w.e.tomcat.TomcatWebServer - Tomcat initialized with port(s): 8080 (http) 2023-10-27 10:30:00.456 INFO  o.s.s.c.a.web.builders.WebSecurityConfigurerAdapter$LazyPasswordEncoder - Using default security password: ce6c3d39-mf20-4w41-8e01-103166bb9nvc ...
```
请注意，具体的日志格式和位置可能因Spring Boot版本和日志配置而异，但通常会在应用程序启动成功后不久显示。
登录应用程序： 找到用户名user和对应的密码后，在浏览器中访问localhost:8080（或您的自定义端口），在弹出的登录框中输入这些凭证即可成功进入您的应用程序页面。

管理与自定义安全配置

在开发阶段，您可能不希望每次都输入密码，或者希望自定义安全行为。Spring Boot提供了灵活的方式来管理和修改默认的安全配置。

1. 临时禁用默认安全（仅限开发环境）

在开发早期，如果安全功能不是您的首要关注点，或者您只是想快速测试UI，可以临时禁用Spring Security的自动配置。

方法一：通过application.properties或application.yml配置

在您的src/main/resources/application.properties文件中添加以下配置：
```
spring.autoconfigure.exclude=org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration
```
或者，在application.yml中：
```
spring:   autoconfigure:     exclude: org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration
```
这将阻止Spring Boot自动配置Spring Security，从而禁用默认的登录页面。
方法二：移除依赖（不推荐，除非您确定不需要Spring Security）

如果您完全不需要Spring Security，可以直接从pom.xml（maven）或build.gradle（Gradle）中移除spring-boot-starter-security依赖。

Maven pom.xml 示例：
```
<dependency>     <groupId>org.springframework.boot</groupId>     <artifactId>spring-boot-starter-security</artifactId>      </dependency>
```
Gradle build.gradle 示例：
```
implementation 'org.springframework.boot:spring-boot-starter-security' // 暂时注释或删除此行以禁用
```
注意： 禁用或移除Spring Security后，您的应用程序将不再受任何默认的安全保护。在生产环境中，强烈建议启用并正确配置安全。

2. 自定义安全配置

如果您需要更精细地控制安全行为（例如，定义自己的用户、角色、授权规则或自定义登录页面），您应该创建自己的Spring Security配置。

创建安全配置类

通常，您会创建一个继承自WebSecurityConfigurerAdapter（适用于旧版本Spring Security）或直接定义SecurityFilterChain Bean（适用于Spring Security 5.7+及Spring Boot 3+）的配置类。

示例（Spring Security 5.7+ / Spring Boot 3+）：

import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.web.SecurityFilterChain;  @Configuration @EnableWebSecurity // 启用Spring Security的Web安全功能 public class SecurityConfig {      @Bean     public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {         http             .authorizeHttpRequests(authorize -> authorize                 .requestMatchers("/", "/home").permitAll() // 允许访问根路径和/home                 .anyRequest().authenticated() // 其他所有请求都需要认证             )             .formLogin(form -> form                 .loginPage("/login") // 自定义登录页面路径                 .permitAll() // 允许所有用户访问登录页面             )             .logout(logout -> logout                 .permitAll()); // 允许所有用户注销         return http.build();     }      // 如果需要，可以定义UserDetailsService和PasswordEncoder来管理用户     // @Bean     // public UserDetailsService userDetailsService() {     //     UserDetails user = User.withDefaultPasswordEncoder()     //             .username("myuser")     //             .password("mypassword")     //             .roles("USER")     //             .build();     //     return new InMemoryUserDetailsManager(user);     // } }

通过自定义SecurityFilterChain Bean，您可以精确地定义哪些URL需要认证，使用何种认证方式（如表单登录、HTTP Basic），以及如何处理授权等。一旦您提供了自己的安全配置，Spring Boot的默认安全配置就会被覆盖。

注意事项

生产环境考量： 默认生成的一次性密码仅适用于开发和快速测试。在生产环境中，您绝不应该依赖这种方式。务必配置健壮的用户管理系统（如数据库、LDAP）和安全的密码存储机制。
日志级别： 确保您的日志级别配置允许Spring Security打印出默认密码。如果日志级别过高（例如，只显示Error），您可能无法在控制台中看到密码。通常，INFO级别即可。
版本兼容性： Spring Security的API在不同版本间可能存在差异，特别是Spring Security 5.7+引入了SecurityFilterChain作为推荐的配置方式，取代了WebSecurityConfigurerAdapter。请根据您项目所使用的Spring Boot和Spring Security版本查阅相应的官方文档。

总结

当您在Spring Boot开发中遇到localhost:8080显示登录页面的情况时，请记住这通常是Spring Security默认行为的体现。通过查找控制台日志中的一次性密码（用户名user），您可以轻松登录。在后续开发中，根据您的需求，您可以选择临时禁用默认安全配置以简化开发流程，或通过自定义SecurityFilterChain来构建符合您应用程序需求的安全策略。理解和正确配置Spring Security是构建健壮、安全Spring Boot应用程序的关键一步。

文章版权归作者所有，未经允许请勿转载。

THE END