Spring Security + OAuth2 精讲多场景打造企业级认证与授权

软考考证

课程简介

《Spring Security + OAuth2 精讲多场景打造企业级认证与授权》Spring Security + OAuth2 精讲多场景打造企业级认证与授权【技能收获】学完可掌握：核心实战技能、项目驱动学习。课程以实战为导向，覆盖从基础概念到完整项目落地的关键步骤，配套章节笔记便于课后复盘与面试前快速回顾。【学习建议】建议按目录顺序学习，先打基础再进入综合实战章节；每完成 2～3 节可结合笔记整理一份学习小结，最终尝试独立复现一套完整 Demo 写入个人作品集。【就业发展】可面向岗位：Linux 运维工程师、SRE、云计算工程师、DevOps 工程师。云原生与自动化运维仍是企业 I

已有 0 人浏览发布 2026-09-15 更新 2026-09-15

这套课把 Spring Security 和 OAuth2 放在一起讲，不是拼盘，而是因为这两块在企业项目里本来就咬得很紧：认证要落到过滤器链上，授权要落到令牌和资源服务器上，拆开看谁都不完整。它面向的不是「第一次写 Controller」的人，而是已经在写 Spring Boot 接口、但安全层一直是靠抄配置片段凑出来的开发者。

课纲含金量：把过滤器链讲透了

Spring Security 最劝退的地方在于，很多人用了一两年仍然说不清一个请求从进入容器到拿到 Authentication 之间经过了什么。这门课在基础部分愿意花篇幅拆过滤器链、认证管理器、SecurityContext 的存取时机，这部分是整门课的地基。判断标准很简单：如果你看完能自己画出一条请求在 FilterChainProxy 内部的流转顺序，并说清 DelegatingFilterProxy 为什么存在，基础章节就没白看。

配置层面它覆盖了新旧两种风格。Java Config 的 Lambda DSL 是当下主流，但大量存量项目还在用已废弃的写法，课程把两者的对应关系串起来，对需要接手老系统的人很实用。方法级安全那一段建议细看，@PreAuthorize里写 SpEL 表达式是实际项目里权限控制最常见的落点，很多人只会写hasRole，遇到「只能改自己的订单」这种需求就卡住，这部分的讲解能直接补上这个缺口。

OAuth2 部分：四种授权模式别平均用力

OAuth2 的课最容易犯的错是把四种授权模式平铺直叙讲一遍。这门课的取舍相对合理：授权码模式是重点，密码模式作为理解令牌发放流程的过渡，客户端模式和简化模式点到为止。真正需要精看的是授权码 + PKCE 这条线，以及令牌校验环节——JWT 的自包含特性和资源服务器本地校验、还是走 introspection 端点远程校验，这个选择直接决定系统的性能和吊销能力，课程有专门对比。

令牌刷新和注销这两件事，是面试里区分「用过」和「懂」的分水岭。刷新令牌的轮换策略、注销时如何让已签发的 JWT 立即失效，这类问题在纯 CRUD 项目里碰不到，但企业级系统绕不开。课程在这两个点上给了可落地的方案，值得放慢速度看。

资料包怎么拆开用

章节笔记适合当索引，不建议通读。真正的用法是：先自己写一遍配置，跑不通了再回去翻对应那一节的笔记，比对差异。
代码部分按模块拆开，把认证服务器和资源服务器分成两个独立工程跑。合并在一起跑通了，你对两端职责的理解往往是模糊的。
做一份自己的最小复现：一个发令牌的服务，一个只认令牌不认 session 的资源服务，中间加一层网关做统一校验。这套东西写进个人仓库，比任何证书都更能说明问题。
把课里的配置逐条注释掉，观察失效现象。安全框架的很多默认行为，只有破坏一次才记得住。

适合谁，以及一个提醒

有 Spring Boot 基础、写过带登录态的接口、想搞明白单点登录和微服务间调用的开发者，是这门课最合适的读者。如果你连 Spring MVC 的请求流程还没理顺，建议先补这一块再来，否则过滤器链那几节会变成背配置。

另外提醒一句：安全这块的坑大多不在框架本身，而在业务语义。角色和权限怎么建模、租户之间如何隔离、第三方登录绑定已有账号时怎么处理冲突，这些课里给的是思路，落到你自己的系统还得重新想一遍。把课当参照系，别当答案。

Spring Security + OAuth2 精讲多场景打造企业级认证与授权

课程推荐

视频目录（65 节）

* 1-1 课前须知，这里有你需要了解的一切.mp4

* 1-2 环境配置.mp4

* 1-3 工程结构.mp4

* 2-1 认证和授权的概念.mp4

* 2-2 过滤器和过滤器链.mp4

* 2-3 HTTP 请求的结构.mp4

* 2-4 HTTP 响应和 HTTP Basic Auth.mp4

* 2-5 安全配置.mp4

* 2-6 定制登录页.mp4

* 2-7 csrf, logout 和 rememberMe 的设置.mp4

* 2-8 登录成功及失败的处理.mp4

* 2-9 自定义 Filter.mp4

* 3-1 密码进化史.mp4

* 3-2 密码编码器.mp4

* 3-3 验证注解和自定义验证注解.mp4

* 3-4 密码的验证规则和自定义注解和验证器.mp4

* 3-5 验证消息的国际化.mp4

* 3-6 异常的处理.mp4

* 3-7 多个安全配置共存.mp4

* 4-1 核心组件 - SecurityContext SecurityContextHolder Authentication.mp4

* 4-2 UserDetails、UserDetailsService和jdbcAuthentication.mp4

* 4-3 定制化数据库.mp4

* 4-4 深度定制化上 - 实现 UserDetails 和 GrantedAuthority.mp4

* 4-5 深度定制化下 - UserDetailsService 和 UserDetailsPasswordService.mp4

* 4-6 环境和环境变量.mp4

* 4-7 自动化测试.mp4

* 5-1 认证流程和源码解析.mp4

* 5-2 LDAP 配置和多 AuthenticationProvider 共存.mp4

* 5-3 JWT 的概念和创建以及解析.mp4

* 5-4 访问令牌和刷新令牌以及JWT外部配置.mp4

* 5-5 创建 JwtFilter.mp4

* 5-6 实现登录接口和刷新令牌接口(上).mp4

* 5-7 实现登录接口和刷新令牌接口(下).mp4

* 5-8 完成注册接口.mp4

* 6-1 多因子认证和TOTP.mp4

* 6-2 云服务和多因子认证逻辑.mp4

* 6-3 短信发送服务 - 阿里云和LeanCloud.mp4

* 6-4 Email 发送服务SMTP 和 API 方式.mp4

* 6-5 多因子认证逻辑 ---整体逻辑和实体类**.mp4

* 6-6 多因子认证逻辑---使用 Redis 缓存.mp4

* 6-7 多因子认证逻辑---选择发送方式和验证.mp4

* 6-8 前端集成---前后端的多工程配置.mp4

* 6-9 前端集成---跨域处理.mp4

* 6-10 前端集成 ---源码解析和验证多因子登录.mp4

* 7-1 授权的概念和安全表达式的应用.mp4

* 7-2 方法级注解.mp4

* 7-3 RBAC 和角色分级.mp4

* 7-4 数据库和实体类的 RBAC **.mp4

* 7-5 元注解简化权限表达式的使用.mp4

* 7-6 使用 AOP 动态刷新角色层级.mp4

* 7-7 前端的安全.mp4

* 7-8 授权流程源码解析和用户组的思路扩展.mp4

* 8-1 OAuth2 的主要角色和流程.mp4

* 8-2 JWS和JWK.mp4

* 8-3 搭建授权服务器（一）依赖和表结构.mp4

* 8-4 搭建授权服务器（二）JWKS 和RSA密钥对.mp4

* 8-5 搭建授权服务器（三）授权服务器配置.mp4

* 8-6 前端为例详解授权码流程.mp4

* 8-7 资源服务器的配置.mp4

* 8-8 客户端登录-社交登录和二维码登录原理.mp4

* 8-9 资源服务器的访问.mp4

* 9-1 Keyloak 简介.mp4

* 9-2 SSO 单点登录.mp4

* 9-3 微服务间的请求调用和**实现token刷新.mp4

* 9-4 总结和回顾.mp4

Spring Security + OAuth2 精讲 多场景打造企业级认证与授权

课纲含金量：把过滤器链讲透了

OAuth2 部分：四种授权模式别平均用力

资料包怎么拆开用

适合谁，以及一个提醒

Spring Security + OAuth2 精讲多场景打造企业级认证与授权