如果你的日常工作里出现过下面这些场景，这门课大概率对得上：接口已经写完了，但权限控制是散落在各个 Controller 里的 if-else；公司要求接入统一登录，第三方应用要拿用户信息却不知道 token 该怎么发、怎么验、怎么失效；或者你正在准备面试，被问到「OAuth2 有哪几种授权模式、各自适合什么场景」时只能背个大概。这些问题的共同点是——它们都属于认证与授权的范畴，而 Spring Security 恰好是 Java 后端里绕不开的那套东西。
这门课主要解决什么问题
Spring Security 本身的难点不在 API 多少，而在于它的过滤器链、认证管理器、权限决策这几层抽象叠在一起，初学者看配置文件经常不知道哪一步在起作用。这门课的处理方式是把认证和授权拆开讲：先让请求走通一条最基础的登录链路，理解用户名密码是怎么被校验、SecurityContext 是怎么被填充的；再往上叠加角色与权限，处理接口级别的访问控制和方法级别的注解鉴权。等这条主线清楚了，再引入 OAuth2，讲授权码模式、密码模式、客户端模式分别对应什么样的业务方，以及资源服务器和授权服务器之间是怎么靠 token 打交道的。
换句话说，它不是为了让你背下某个版本的配置写法，而是让你在遇到「这个接口该不该放行」「这个 token 该不该续期」的时候，能自己判断该动哪一层。
学完之后能独立做什么
- 为一个 Spring Boot 项目搭起完整的登录认证流程，包括自定义登录页、登录成功与失败的处理、记住我和会话管理。
- 基于角色或权限做接口级控制，把注解鉴权用到方法上，并处理无权访问时的统一返回。
- 把系统改造成 OAuth2 的授权服务器加资源服务器结构，让第三方应用通过授权码模式拿到访问令牌并调用受保护接口。
- 处理 JWT 形式的令牌：签发、校验、解析其中的用户信息，以及过期和刷新的基本逻辑。
- 在前后端分离的场景里，用无状态的方式替代传统的 Session 会话。
这几项做下来，基本能覆盖中小型项目里认证授权的常见需求，也够在面试里把这块讲清楚。
资料形式与适合的基础
内容以视频讲解为主，配合章节笔记。笔记的作用不是重复视频里的操作步骤，而是把每一步背后的机制用文字理一遍，适合课后再看一遍加深印象，也适合面试前集中回顾概念。因为涉及不少配置和代码，边看边敲的效果会比纯看要好。
需要提前说明的是，这门课不适合零 Java 基础的人。至少要能看懂 Spring Boot 的 Controller 和 Service 是怎么写的，知道依赖注入是怎么回事，对 HTTP 的请求响应流程有基本概念。如果之前没接触过 Spring Security，从零开始跟是可以的；如果已经有项目里用过一点，可以跳过最前面的基础章节，重点看 OAuth2 和前后端分离那部分。
几点学习上的提醒
Spring Security 的版本差异比较明显，不同大版本之间配置方式和默认行为都有调整。学习时留意课程使用的版本号，遇到和自己项目不一致的地方，优先查对应版本的官方文档，不要硬套。另外，认证授权这块概念多、关联强，建议不要跳着看，尤其是过滤器链和 OAuth2 的几种模式，前面没弄明白，后面很容易卡住。
还有一点：这门课讲的是通用机制，不会替你决定业务上该用哪种方案。学完之后，真正要做的判断是——你的系统是单体还是分布式、调用方是自家前端还是外部应用、令牌要不要跨服务传递。这些想清楚了，代码怎么写反而是水到渠成的事。
Spring Security + OAuth2 精讲 多场景打造企业级认证与授权
课程推荐
《Spring Security + OAuth2 精讲 多场景打造企业级认证与授权》Spring Security + OAuth2 精讲 多场景打造企业级认证与授权【技能收获】学完可掌握：核心实战技能、项目驱动学习。课程以实战为导向，覆盖从基础概念到完整项目落地的关键步骤，配套章节笔记便于课后复盘与面试前快速回顾。【学习建议】建议按目录顺序学习，先打基础再进入综合实战章节；每完成 2～3 节可结合笔记整理一份学习小结，最终尝试独立复现一套完整 Demo 写入个人作品集。【就业发展】可面向岗位：Linux 运维工程师、SRE、云计算工程师、DevOps 工程师。云原生与自动化运维仍是企业 IT 刚需方向，认证 + 实战项目组合能显著提升面试通过率，适合向中高级运维或架构岗进阶。 若你已有一定编程或运维基础，本课程可帮助你在现有技能栈上快速叠加热门方向能力，提升求职时的项目说服力与薪资谈判空间。
视频目录（65 节）
课程目录
* 1-1 课前须知，这里有你需要了解的一切.mp4
* 1-2 环境配置.mp4
* 1-3 工程结构.mp4
* 2-1 认证和授权的概念.mp4
* 2-2 过滤器和过滤器链.mp4
* 2-3 HTTP 请求的结构.mp4
* 2-4 HTTP 响应和 HTTP Basic Auth.mp4
* 2-5 安全配置.mp4
* 2-6 定制登录页.mp4
* 2-7 csrf, logout 和 rememberMe 的设置.mp4
* 2-8 登录成功及失败的处理.mp4
* 2-9 自定义 Filter.mp4
* 3-1 密码进化史.mp4
* 3-2 密码编码器.mp4
* 3-3 验证注解和自定义验证注解.mp4
* 3-4 密码的验证规则和自定义注解和验证器.mp4
* 3-5 验证消息的国际化.mp4
* 3-6 异常的处理.mp4
* 3-7 多个安全配置共存.mp4
* 4-1 核心组件 - SecurityContext SecurityContextHolder Authentication.mp4
* 4-2 UserDetails、UserDetailsService和jdbcAuthentication.mp4
* 4-3 定制化数据库.mp4
* 4-4 深度定制化上 - 实现 UserDetails 和 GrantedAuthority.mp4
* 4-5 深度定制化下 - UserDetailsService 和 UserDetailsPasswordService.mp4
* 4-6 环境和环境变量.mp4
* 4-7 自动化测试.mp4
* 5-1 认证流程和源码解析.mp4
* 5-2 LDAP 配置和多 AuthenticationProvider 共存.mp4
* 5-3 JWT 的概念和创建以及解析.mp4
* 5-4 访问令牌和刷新令牌以及JWT外部配置.mp4
* 5-5 创建 JwtFilter.mp4
* 5-6 实现登录接口和刷新令牌接口(上).mp4
* 5-7 实现登录接口和刷新令牌接口(下).mp4
* 5-8 完成注册接口.mp4
* 6-1 多因子认证和TOTP.mp4
* 6-2 云服务和多因子认证逻辑.mp4
* 6-3 短信发送服务 - 阿里云和LeanCloud.mp4
* 6-4 Email 发送服务SMTP 和 API 方式.mp4
* 6-5 多因子认证逻辑 ---整体逻辑和实体类**.mp4
* 6-6 多因子认证逻辑---使用 Redis 缓存.mp4
* 6-7 多因子认证逻辑---选择发送方式和验证.mp4
* 6-8 前端集成---前后端的多工程配置.mp4
* 6-9 前端集成---跨域处理.mp4
* 6-10 前端集成 ---源码解析和验证多因子登录.mp4
* 7-1 授权的概念和安全表达式的应用.mp4
* 7-2 方法级注解.mp4
* 7-3 RBAC 和角色分级.mp4
* 7-4 数据库和实体类的 RBAC **.mp4
* 7-5 元注解简化权限表达式的使用.mp4
* 7-6 使用 AOP 动态刷新角色层级.mp4
* 7-7 前端的安全.mp4
* 7-8 授权流程源码解析和用户组的思路扩展.mp4
* 8-1 OAuth2 的主要角色和流程.mp4
* 8-2 JWS和JWK.mp4
* 8-3 搭建授权服务器（一）依赖和表结构.mp4
* 8-4 搭建授权服务器（二）JWKS 和RSA密钥对.mp4
* 8-5 搭建授权服务器（三）授权服务器配置.mp4
* 8-6 前端为例详解授权码流程.mp4
* 8-7 资源服务器的配置.mp4
* 8-8 客户端登录-社交登录和二维码登录原理.mp4
* 8-9 资源服务器的访问.mp4
* 9-1 Keyloak 简介.mp4
* 9-2 SSO 单点登录.mp4
* 9-3 微服务间的请求调用和**实现token刷新.mp4
* 9-4 总结和回顾.mp4
