Spring Security 是一个功能强大的安全框架，用于为 Java 应用程序提供身份验证和授权。其核心原理基于一系列的过滤器，这些过滤器会拦截请求并根据安全配置来决定是否允许该请求继续。

实现原理：

1. 用户身份验证：Spring Security 使用 AuthenticationManager 进行身份验证。它通常与一个 UserDetailsService 一起使用，后者从数据源（如数据库、内存等）获取用户详细信息。
2. 权限/角色授权：一旦用户通过身份验证，Spring Security 会检查该用户是否被授权执行特定的操作。这是通过 AccessDecisionManager 和与之相关的 GrantedAuthority 实现的。
3. 请求拦截：一系列的过滤器会拦截进入应用程序的请求。其中最重要的有 UsernamePasswordAuthenticationFilter（用于处理基于用户名和密码的登录请求）和 FilterSecurityInterceptor（用于检查用户是否已被授权执行请求的操作）。

代码示例：

1. 配置 Spring Security：

@Configuration  
@EnableWebSecurity  
public class SecurityConfig extends WebSecurityConfigurerAdapter {  
    @Autowired  
    private UserDetailsService userDetailsService;  
  
    @Override  
    protected void configure(HttpSecurity http) throws Exception {  
        http  
            .authorizeRequests()  
                .antMatchers("/", "/home").permitAll() // 允许所有人访问 / 和 /home  
                .anyRequest().authenticated() // 其他请求需要身份验证  
                .and()  
            .formLogin() // 启用基于表单的登录  
                .loginPage("/login") // 设置登录页面URL  
                .permitAll() // 允许所有人访问登录页面  
                .and()  
            .logout() // 启用注销功能  
                .permitAll(); // 允许所有人访问注销页面  
    }  
  
    @Override  
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {  
        auth.userDetailsService(userDetailsService); // 使用自定义的用户详情服务  
    }  
}

2. 实现 UserDetailsService：
   为了从数据源中获取用户信息，你需要实现 UserDetailsService。例如，以下是一个简单的内存实现：

@Service  
public class MyUserDetailsService implements UserDetailsService {  
    @Override  
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {  
        if ("user".equals(username)) {  
            return new User("user", "password", Collections.singleton(new SimpleGrantedAuthority("ROLE_USER")));  
        } else {  
            throw new UsernameNotFoundException("User not found with username: " + username);  
        }  
    }  
}

3. 保护控制器方法：
   你可以使用 @Secured 或 @PreAuthorize 注解来保护特定的方法。例如：

@RestController  
public class MyController {  
    @GetMapping("/secret")  
    @PreAuthorize("hasRole('ROLE_USER')") // 只有 USER 角色的用户可以访问此方法  
    public String secret() {  
        return "You've reached the secret endpoint!";  
    }  
}