Spring Security入門：アーキテクチャと仕組みを基礎から理解する【Spring Boot 3対応】

<!-- pom.xml（Maven）-->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // CSRFを無効化（REST APIの場合など）
            .csrf(csrf -> csrf.disable())
            // リクエストごとのアクセス制御
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/public/**").permitAll()       // /public/** は誰でもアクセス可
                .requestMatchers("/admin/**").hasRole("ADMIN")   // /admin/** はADMINロールのみ
                .anyRequest().authenticated()                    // その他は認証済みのみ
            )
            // フォームログインの設定
            .formLogin(form -> form
                .loginPage("/login")         // カスタムログインページ
                .defaultSuccessUrl("/home")  // ログイン成功後のリダイレクト先
                .permitAll()
            )
            // ログアウトの設定
            .logout(logout -> logout
                .logoutSuccessUrl("/login?logout")
                .permitAll()
            );

        return http.build();
    }
}

import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository; // JPA Repositoryなど

    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username)
            throws UsernameNotFoundException {
        // DBからユーザーを取得
        AppUser appUser = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException(
                "ユーザーが見つかりません: " + username));

        // Spring SecurityのUserDetailsオブジェクトに変換して返す
        return User.builder()
            .username(appUser.getUsername())
            .password(appUser.getPassword()) // BCryptでハッシュ化済みのパスワード
            .roles(appUser.getRole())        // 例: "USER", "ADMIN"
            .build();
    }
}

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class PasswordConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

// 設定クラスでメソッドセキュリティを有効化
@Configuration
@EnableWebSecurity
@EnableMethodSecurity // これを追加
public class SecurityConfig {
    // ... SecurityFilterChainのBean定義
}

// サービス層でのアノテーション使用例
@Service
public class AdminService {

    // ADMINロールを持つユーザーのみ実行可能
    @PreAuthorize("hasRole('ADMIN')")
    public List<User> getAllUsers() {
        return userRepository.findAll();
    }

    // 認証済みユーザーであれば実行可能
    @PreAuthorize("isAuthenticated()")
    public UserProfile getMyProfile(String username) {
        return userRepository.findByUsername(username)
            .map(UserProfile::from)
            .orElseThrow();
    }
}

import org.springframework.security.core.annotation.AuthenticationPrincipal;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class UserController {

    // 方法1: @AuthenticationPrincipal（推奨）
    @GetMapping("/me")
    public String getMyInfo(@AuthenticationPrincipal UserDetails userDetails) {
        return "ログインユーザー: " + userDetails.getUsername();
    }

    // 方法2: SecurityContextHolderから直接取得
    @GetMapping("/me2")
    public String getMyInfo2() {
        var authentication = SecurityContextHolder.getContext().getAuthentication();
        return "ログインユーザー: " + authentication.getName();
    }
}