Spring Security 是 Spring 知识库中的一个主干模块。围绕认证、授权、攻击防护、OAuth2/OIDC/SAML、方法安全、测试和审计，为 Spring 应用提供可扩展安全框架。

本章按照从新手到资深工程师的学习路径组织：先建立整体地图，再进入核心机制，最后进入生产实践、排障、源码和设计题。

1. 学习路线

入门：知道解决什么问题，能跑通基本示例
  |
  v
进阶：理解自动装配、生命周期、代理、过滤器或调用链
  |
  v
高级：能做生产配置、性能调优、安全治理和故障排查
  |
  v
专家：能解释源码设计、版本迁移、架构取舍和团队规范

2. 本章目录

• 认证授权基础
• Servlet过滤器链
• SecurityFilterChain配置
• Authentication架构
• UserDetailsService与密码存储
• 会话管理与RememberMe
• CSRF与安全响应头
• HTTP授权与请求匹配
• 方法安全
• OAuth2登录与客户端
• Resource Server与JWT
• Spring Authorization Server
• OIDC与单点登录
• SAML2与企业身份
• 多因素认证与Passkeys
• CORS与前后端分离
• 异常处理与登录登出
• Spring Security安全测试
• Reactive Security
• 安全审计与观测
• 常见漏洞与防护
• Spring Security迁移升级与兼容性
• Spring Security面试与设计题

3. 阅读建议

读者阶段	阅读方式	重点关注
新手	先读概述和基础主题	概念、最小用法、常见配置
中级	按机制主题逐篇推进	生命周期、默认规则、扩展点
高级	重点读实践、排障和设计题	性能、安全、稳定性、迁移
资深	结合源码和项目复盘阅读	抽象边界、团队规范、平台化

4. 总结

Spring Security 的学习重点不是背诵组件名，而是理解它如何把业务代码、运行环境和工程治理连接起来。读完本章后，你应该能在真实项目中回答三个问题：为什么要用它、默认行为是什么、当默认行为不适合生产时如何安全接管。