新人と先輩の会話形式で理解しよう

新人

「Spring Securityって何ですか？Webアプリケーションのセキュリティって難しそうで…」

先輩

「確かに難しそうに感じるよね。でもSpring Securityは、Webアプリケーションに必要な認証や認可を簡単に追加できる便利な仕組みなんだ。Javaのフレームワークで、ログインフォームやアクセス制御を手軽に実現できるんだよ。」

新人

「なるほど！でも、なぜわざわざログインフォームを作る必要があるんですか？」

先輩

「それは良い質問だね。ログインフォームを作ることで、ユーザーごとにアプリケーションの利用を制限できるようになるんだ。今回は初心者向けに、Spring Securityで簡単なログインフォームを作る手順を順番に説明するね！」

1. Spring Securityとは？

Spring Securityは、Javaで作るWebアプリケーションにセキュリティ機能を簡単に組み込めるフレームワークです。認証（ログイン処理）や認可（アクセス制御）など、Webアプリケーションに不可欠な機能を提供してくれます。Spring Bootを使ったプロジェクトと組み合わせると、最小限の設定でログイン機能をすぐに実装できます。複雑な設定が不要なので、初心者でも扱いやすい点が特徴です。

Spring Securityは、複雑な仕組みを意識しなくても、安全なログインフォームを作成できるのが大きなメリットです。JavaのWeb開発でよく使われるこの仕組みを理解しておくことで、これからの開発にも役立つでしょう。

2. ログインフォームを作る理由や概要

ログインフォームを作る理由は、ユーザーごとにアクセスできるページを制御するためです。たとえば、会員限定ページを作りたいときや管理者だけが使える画面を作りたいときに、ログインフォームが必要です。

Spring Securityを使うと、認証に必要な仕組みを簡単に設定できます。ユーザーが入力したIDやパスワードを確認し、正しければ指定したページへ進める仕組みを作ることができます。

この記事では、Spring Securityの基本的な仕組みを使い、簡単なログインフォームを作る方法をステップごとに解説します。初心者の方でも理解できるように、開発環境や設定ファイルの準備から順に紹介します。

3. プロジェクトの準備（pleiadesでプロジェクト作成、依存関係の追加）

まず、Spring Securityを使ったログインフォームを作るために、開発環境を整えましょう。今回は、pleiadesを使ってプロジェクトを作成します。MavenではなくGradleを使う前提です。

以下の手順でプロジェクトを準備します。

3-1. pleiadesの起動とプロジェクト作成

pleiadesを起動して、新しいJavaプロジェクトを作成します。プロジェクト名は「spring-security-login」など、分かりやすい名前にしましょう。Spring Bootのプロジェクトとして作成すると、後で必要な依存関係を簡単に管理できます。

3-2. Gradleプロジェクトの設定

作成したプロジェクトは、Gradleプロジェクトとして設定されます。pleiadesのプロジェクト作成画面で、「Gradle」を選んで作成を進めます。

3-3. 依存関係の追加

pleiadesでは、プロジェクトを作成した後に、必要な依存関係を追加できます。Spring Securityを使うために、Spring Boot DevToolsやSpring Web、Spring Securityの依存関係を追加しましょう。

pleiadesの「Gradle Tasks」や「Gradle View」を使い、build.gradleに以下のような依存関係が追加されているか確認します。


dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-security'
    implementation 'org.springframework.boot:spring-boot-starter-web'
    testImplementation 'org.springframework.boot:spring-boot-starter-test'
}

これで、Spring Securityを使う準備が整いました。ここまでが、プロジェクト作成と依存関係の追加の手順です。

次の記事では、Spring Securityの設定クラスの作成方法から、実際のログインフォームの作成まで解説します。初心者でも安心して進められるように、具体的な設定例を交えて説明しますので、ぜひ続けて読んでください。

4. Spring Securityの基本設定（SecurityConfigクラスの作成）

Spring Securityをプロジェクトに組み込んだら、次は実際にセキュリティの設定を行うクラスを作成します。このクラスはSecurityConfigと名付けることが多く、アプリケーション全体のセキュリティルールをまとめて管理できます。

ここでは、pleiadesで作成したプロジェクトにSecurityConfigクラスを新規作成します。プロジェクト内のsrc/main/java配下に、configというパッケージを作り、その中にSecurityConfig.javaを置くと管理しやすくなります。

設定クラスでは、@Configurationと@EnableWebSecurityアノテーションを付けて、セキュリティの設定を有効にします。また、WebSecurityConfigurerAdapterを継承し、必要なメソッドをオーバーライドして、ログインフォームの設定や認証方法を指定します。


package com.example.springsecuritylogin.config;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")
            .password("{noop}password")
            .roles("USER");
    }
}

この設定では、アプリケーションの全てのリクエストを認証が必要とし、ログインページとして/loginを指定しています。また、inMemoryAuthenticationを使って、メモリ内にユーザー情報を登録しています。ここでは、ユーザー名が「user」、パスワードが「password」です。

5. ログインフォームのHTML（thymeleaf不要で、シンプルなform要素でOK）

次に、実際のログインフォームを作成します。今回は、thymeleafは使わず、シンプルなform要素で作成します。Spring Securityは、デフォルトで/loginというURLを受け取る仕組みを持っているため、formのaction属性は/loginに指定します。

pleiadesで、src/main/resources/templatesフォルダ（またはstaticでもOK）にlogin.htmlを作成しましょう。以下のように、ユーザー名とパスワードを入力できるシンプルなHTMLを記述します。


<!DOCTYPE html>
<html lang="ja">
<head>
    <meta charset="UTF-8">
    <title>ログインフォーム</title>
</head>
<body>
    <h2>ログイン</h2>
    <form method="post" action="/login">
        <div>
            <label for="username">ユーザー名:</label>
            <input type="text" id="username" name="username" required>
        </div>
        <div>
            <label for="password">パスワード:</label>
            <input type="password" id="password" name="password" required>
        </div>
        <div>
            <button type="submit">ログイン</button>
        </div>
    </form>
</body>
</html>

このHTMLファイルを作成することで、ブラウザから/loginにアクセスすると、ログイン画面が表示されるようになります。ユーザーが「user」と「password」を入力してログインすると、認証が成功してアプリケーションのトップページなどに遷移します。

6. ユーザー認証の仕組み（メモリ内認証の設定例）

Spring Securityでは、認証の仕組みを柔軟にカスタマイズできます。今回は初心者向けに、データベースを使わずにメモリ内認証を使う例を紹介します。SecurityConfigクラスのconfigureメソッドで、inMemoryAuthenticationを設定することで、すぐにテストできる環境を作れます。

先ほどのSecurityConfigの設定を振り返りましょう。ユーザー名が「user」、パスワードが「password」で、ロールは「USER」です。この設定は、Spring Securityが用意している仕組みで、アプリケーション起動時にメモリ内にユーザー情報を持たせるものです。実際にデータベースを使うケースでは、JdbcUserDetailsManagerや独自のUserDetailsServiceを作りますが、まずは動作確認としてメモリ内認証を使うのがおすすめです。

このように、メモリ内認証を設定することで、初心者でもすぐにSpring Securityの動きを体験できます。アプリケーションを起動して、http://localhost:8080にアクセスすると、認証が必要なページでは自動的に/loginにリダイレクトされる仕組みが有効になります。

以上が、Spring Securityの基本設定からログインフォームのHTML、そしてユーザー認証の仕組みまでの流れです。次の記事では、ログイン後にどのような画面に遷移するかや、認証成功後のカスタマイズについて詳しく説明しますので、ぜひ続けて読んでください。

7. ログイン成功後の画面遷移（@Controllerを使った例）

Spring Securityでログイン認証が成功すると、通常はアプリケーションのトップページや指定されたページに遷移します。ログイン後の画面遷移は、アプリケーションのコントローラで設定できます。ここでは、pleiadesで@Controllerを使って、ログイン後に表示するページを作成してみましょう。

まず、src/main/java配下にcontrollerというパッケージを作成し、HomeController.javaを新規作成します。ログイン後に表示するトップページ用のコントローラを次のように記述します。


package com.example.springsecuritylogin.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;

@Controller
public class HomeController {

    @GetMapping("/")
    public String home() {
        return "home";
    }
}

このクラスでは、@GetMappingアノテーションを使い、ルートURL「/」にアクセスされたときにhome.htmlを返す仕組みになっています。次に、src/main/resources/templatesフォルダにhome.htmlを作成し、以下の内容を記述します。


<!DOCTYPE html>
<html lang="ja">
<head>
    <meta charset="UTF-8">
    <title>ホーム</title>
</head>
<body>
    <h2>ようこそ！ログインに成功しました。</h2>
    <p>ここはログイン後に表示されるトップページです。</p>
</body>
</html>

これで、ログインフォームから認証が成功すると、/にリダイレクトされ、home.htmlが表示される仕組みが完成します。

8. Spring Securityのカスタマイズ（必要最低限の設定）

Spring Securityのデフォルト設定では、すぐにログインフォームが使える便利な仕組みが整っています。しかし、実際のアプリケーションでは、デザインや機能をもう少し細かく調整することが多いです。ここでは、初心者向けに必要最低限のカスタマイズ例を紹介します。

8-1. カスタムログインページのパス指定

デフォルトでは、/loginというパスがログインフォームに使われますが、別のURLに変更したい場合は、SecurityConfigのformLogin()でloginPageを変更できます。例として、/my-loginに変えたい場合は以下のようにします。


.formLogin()
    .loginPage("/my-login")
    .permitAll();

これにより、ログインフォームを/my-loginに変更できます。

8-2. ログアウト機能の追加

Spring Securityはログアウト機能も用意しています。設定クラスに以下のようにlogoutの設定を追加すると、/logoutへのアクセスでログアウトできます。


.and()
.logout()
    .logoutSuccessUrl("/login?logout")
    .permitAll();

これにより、ログアウト後は/loginにリダイレクトされ、「ログアウトしました」というメッセージを表示できます。

8-3. パスワードの暗号化

今回の記事では、学習用に{noop}を使ってパスワードを平文で設定しましたが、実際の開発では必ず暗号化を行いましょう。Spring SecurityではBCryptPasswordEncoderなどの暗号化クラスを使えます。

9. まとめと今後のステップ

ここまで、Spring Securityを使った簡単なログインフォームの作成方法を初心者向けに解説してきました。pleiadesでのプロジェクト作成から、SecurityConfigクラスによる設定、@Controllerを使ったトップページの表示まで、順を追って説明しました。

今回の例では、メモリ内認証でuserとpasswordを使って認証する簡単な仕組みを体験しました。これにより、Spring Securityがどのように動くのか、ログインフォームがどのように連携するのかが理解できたと思います。

今後のステップとして、実際のアプリケーション開発では、データベースを使ってユーザー情報を管理したり、ログイン後の画面をさらにカスタマイズしたりする必要があります。また、よりセキュリティを高めるために、パスワードの暗号化や権限の設定なども重要なポイントです。

Spring Securityの仕組みを理解し、少しずつカスタマイズに挑戦していくことで、安全なWebアプリケーションを作れるようになります。ぜひ今回の内容を基礎として、さらにステップアップしていきましょう。

この記事を読んだ人からの質問

Spring Securityで簡単なログインフォームを作る方法を解説！初心者向けステップガイド