新人と先輩の会話形式で理解しよう

新人

「PleiadesでSpring Bootのプロジェクトを作ったんですが、何も設定していないのにログイン画面が出てきて驚きました！」

先輩

「それはSpring Securityのデフォルト設定が働いているからだよ。実は何もしなくても基本的な認証機能が有効になるんだ。」

新人

「へぇ、それってどういう仕組みなんですか？」

先輩

「じゃあ、まずはSpring Securityの基本から説明するね。」

1. Spring Securityとは何か

Spring Securityは、JavaやSpring Bootで開発されたWebアプリケーションにセキュリティ機能（認証・認可）を追加するためのフレームワークです。例えば、ログイン機能やアクセス制限、パスワードの管理などを実装する際に役立ちます。

セキュリティのないWebアプリケーションは、悪意のあるユーザーに簡単に侵入されてしまう可能性があります。Spring Securityを使えば、少ない設定で強固なセキュリティを確保できるのが大きなメリットです。

Spring Bootと組み合わせることで、デフォルトの設定が自動で有効になり、ログインフォームやユーザーの管理機能がすぐに使えるようになります。開発者が何も設定しなくても、ログイン画面が表示されるのはこの仕組みのおかげです。

2. Spring BootにSpring Securityを追加すると何が起きるか

Spring BootにSpring Securityを導入すると、すぐにログイン機能が有効になります。これは、Spring Securityが提供するデフォルト設定によって自動的に制御される仕組みです。

たとえば、以下のようにPleiadesでSpring Bootプロジェクトを作成し、依存関係の選択画面でSpring Securityにチェックを入れるだけで、自動でログイン画面が表示されるようになります。


dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-security'
}

この状態でアプリケーションを起動し、ブラウザでhttp://localhost:8080にアクセスすると、下のようなログイン画面が自動生成されて表示されます。


http://localhost:8080/

ここで入力するユーザー名はuserで、パスワードはアプリケーション起動時のコンソールログに表示されています。以下のようなログを探してみてください。


Using generated security password: 8a7d4e2b-xxxx-xxxx-xxxx-xxxxxxxxxxxx

このパスワードをコピーしてログインすることで、認証が完了し、元のページへ遷移します。これがSpring Securityのデフォルトの認証動作です。

このとき、すべてのリクエストがログイン必須として扱われます。ログインしていない状態で他のページにアクセスしようとすると、強制的にログイン画面へリダイレクトされます。

これにより、開発者が自分でログイン画面を作ったり、セッション管理を実装したりする前から、基本的なセキュリティ機能が有効になります。

ただし、このままではデザインの変更やユーザー管理のカスタマイズはできません。そのため、実際のアプリケーションでは後から設定クラスを作成し、詳細な制御を追加していくことが一般的です。

まずはこのデフォルトのログイン挙動を理解しておくことで、Spring Securityの動作の基本をしっかり押さえることができます。

3. Spring Securityのデフォルトログイン画面の表示方法

Spring Securityを導入した状態でSpring Bootアプリケーションを起動すると、認証が必要なリクエストに対して自動的にログイン画面が表示されます。これが「デフォルトログイン画面」です。

このログイン画面は、開発者がHTMLを用意しなくても自動で生成されるため、最初からログイン機能の確認が可能です。画面のURLは次のようになります。


http://localhost:8080/login

このURLにアクセスするか、認証が必要なページ（たとえば/homeなど）にアクセスすると、自動的にこのログイン画面にリダイレクトされます。

このログイン画面には、ユーザー名とパスワードを入力するフォームがあり、正しく認証されるとリダイレクト先に遷移します。画面のデザインはシンプルでカスタマイズされていませんが、テスト用途には十分な内容です。

この仕組みにより、開発初期段階でもすぐにセキュリティ付きの画面遷移を確認でき、実装の確認やテストを効率的に行うことができます。

4. 自動生成されたユーザー情報とログイン方法

Spring Securityを導入すると、アプリケーション起動時に一時的なユーザー情報が自動で生成されます。この情報はログインの際に利用され、以下のようなログに表示されます。


Using generated security password: 9f4a9c1a-xxxx-xxxx-xxxx-xxxxxxxxxxxx

ユーザー名は常に「user」で固定されており、パスワードは上記のように一時的に生成されてコンソールに出力されます。Pleiadesでプロジェクトを起動したときの「コンソール」タブを確認してみてください。

ログイン時にはこのユーザー名とパスワードを使って、デフォルトのログインフォームにアクセスしてください。正しく入力すれば、ログイン後の画面に遷移します。

もし間違ったパスワードを入力した場合は、同じログイン画面に戻され、URLに?errorパラメータが付きます。


http://localhost:8080/login?error

このようにして、ログイン処理の成功・失敗を視覚的に確認できるのも、Spring Securityのデフォルト機能の魅力です。

この初期ユーザーは本番環境には向いていないため、後ほど独自のユーザー設定を行う必要がありますが、開発初期段階では非常に便利です。

5. ログイン失敗時・ログアウト時の動作の流れ

Spring Securityでは、ログインに失敗した場合や、ログアウトした場合の動作もデフォルトで自動的に制御されています。まずは、ログイン失敗時の動作を見てみましょう。

ユーザー名やパスワードを間違えてログインしようとすると、ログイン画面に戻されてURLが以下のようになります。


http://localhost:8080/login?error

このとき、画面上には「ログインに失敗しました」などのエラーメッセージが表示される仕組みがあり、ユーザーはログインし直すことができます。

次に、ログアウト処理について説明します。Spring Securityでは、ログアウトのURLも自動で用意されており、以下のURLにアクセスするとログアウトが実行されます。


http://localhost:8080/logout

このURLにアクセスすると、セッション情報がクリアされ、ログイン画面へリダイレクトされます。ログアウトが成功したあとは、次のようなURLになります。


http://localhost:8080/login?logout

この画面には「ログアウトしました」といったメッセージが表示されることで、ログアウト処理が正しく完了したことが確認できます。

ログアウト処理の流れは自動で行われるため、特別なコードを書く必要はありません。ただし、今後カスタマイズしたい場合には、ログアウトURLやリダイレクト先の変更が可能です。

このように、Spring Securityはログイン・ログアウト・エラー処理といった認証周りの機能を自動で処理してくれるため、開発者はロジックに集中できるのが大きな魅力です。

6. Spring Securityの設定クラスを作成せずに使える機能一覧

Spring Securityを導入しただけの状態、つまり設定クラスを自分で作成していない状態でも、さまざまなセキュリティ機能が自動で利用できます。これらは、初心者にとってとても助かる「初期状態で使える機能」です。

以下は、設定を追加しなくても有効になる代表的な機能です。

ログインフォームの自動生成（/loginへのアクセス）
デフォルトユーザー（user）の作成とランダムパスワードの生成
すべてのリクエストへのアクセス制限（認証必須）
ログアウト機能の自動提供（/logoutへのアクセス）
ログイン成功・失敗時のリダイレクト処理
CSRF対策（クロスサイトリクエストフォージェリの防止）
セッション管理（ログイン中のセッション確保）

これらの機能はすべて、Spring BootとSpring Securityの組み合わせによって「自動的に」適用されます。開発者が何も設定しなくても、安全なログイン環境が確保されるのは大きな特徴です。

そのため、開発初期段階では設定ファイルに手を加えなくても、すぐにログイン画面やログアウト処理の動作確認ができます。

7. よくある疑問と注意点（カスタマイズせずに使う場合の制限）

Spring Securityのデフォルト設定は非常に便利ですが、実際の開発現場では「カスタマイズしないままでは困る場面」も出てきます。ここでは、初心者が感じやすい疑問や注意点をまとめて解説します。

ログインユーザーを変更したいときは？

デフォルトでは「user」というユーザー名しか使えず、パスワードも毎回ランダムで生成されます。固定のユーザー情報や複数ユーザーを定義したい場合には、設定クラスやapplication.propertiesで明示的に指定する必要があります。


spring.security.user.name=admin
spring.security.user.password=secret123

これにより、起動時のユーザー名とパスワードを固定にできます。ただし、本格的なアプリケーションではデータベースと連携してユーザー情報を管理する方が現実的です。

ログイン画面の見た目を変えたい場合は？

デフォルトのログイン画面はシンプルで機能的ですが、業務システムや公開サイトでは独自デザインのログイン画面が必要になることがあります。このようなときには、/loginのURLを自分でマッピングして、HTMLでログインフォームを作成します。

ただし、独自のログイン画面を使う場合は、セキュリティ設定クラスで.loginPage()などの記述が必要になります。

特定のページだけ公開したいときは？

Spring Securityの初期設定では、すべてのページが認証必須になります。たとえば、/aboutや/contactのような一般公開ページを作りたい場合には、セキュリティ設定を追加して.permitAll()などを明示する必要があります。

このように、デフォルト設定だけでは柔軟な制御が難しいため、ある程度開発が進んだらセキュリティ設定クラスを作成する流れになります。

8. 今後カスタマイズしたい人へのアドバイス（次の学習ステップの紹介）

Spring Securityのデフォルト機能はとても便利ですが、本格的な開発では必ず「カスタマイズ」の知識が必要になります。ここでは、次に学ぶべきステップをいくつか紹介します。

ログインページのカスタマイズ（自作HTMLでログインフォームを作成）
セキュリティ設定クラスの作成（SecurityFilterChainの定義）
特定URLの公開・非公開の制御（.authorizeHttpRequests()の使い方）
ユーザー情報のデータベース連携（JPA + UserDetailsService）
パスワード暗号化と認証処理の実装
ロールベースのアクセス制御（ROLE_USER、ROLE_ADMINなど）

これらは一度に全部覚える必要はありませんが、Spring Securityを使いこなすうえで少しずつ学んでいくと実践的な力が付きます。

特に、SecurityFilterChainを使った設定クラスの作成は、ログインやログアウトの挙動を自由に制御するために欠かせないステップです。以下は、その最初のサンプルです。


@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login", "/public/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .defaultSuccessUrl("/home", true)
                .permitAll()
            )
            .logout(logout -> logout
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login?logout")
            );
        return http.build();
    }
}

このように、段階的に学んでいけば、誰でも安全で実用的なアプリケーションを作れるようになります。まずはデフォルト機能を使いながら動作を理解し、その後少しずつカスタマイズにチャレンジしてみてください。

まとめ

Spring Securityのデフォルト挙動を理解することの大切さ

この記事では、Spring BootにSpring Securityを追加しただけで有効になるデフォルトの挙動について、初心者の方でもイメージしやすいように、ログイン画面の表示、ユーザー情報の生成、ログイン成功・失敗、ログアウトの流れまでを丁寧に解説してきました。 Pleiadesでプロジェクトを作成し、特別な設定を何も書いていないのにログイン画面が表示されるのは、 Spring Securityが持つ強力な自動設定のおかげです。

最初は「なぜ勝手にログイン画面が出るのか」「自分は何も書いていないのに大丈夫なのか」と不安に感じるかもしれませんが、これはSpring Securityが Webアプリケーションを安全に保つために、最小限のセキュリティ機能を自動で有効化している結果です。この仕組みを正しく理解しておくことで、後から設定クラスを作成したり、ログイン画面をカスタマイズしたりするときにも、全体の流れを見失わずに済みます。

デフォルト設定でできることと、できないこと

Spring Securityのデフォルト設定では、ログインフォームの自動生成、一時的なユーザーの作成、すべてのURLへの認証制御、ログアウト処理、 CSRF対策やセッション管理など、多くの機能が最初から有効になっています。そのため、学習段階や動作確認の段階では、設定クラスを一切作らなくても、セキュリティ付きのWebアプリケーションをすぐに起動できます。

一方で、ユーザーを複数管理したい場合や、ログイン画面のデザインを変更したい場合、特定のページだけをログイン不要にしたい場合などは、デフォルト設定のままでは対応できません。こうした制限があるからこそ、まずはデフォルトの挙動を体験し、「どこまでが自動で、どこからが自分で設定する必要があるのか」をしっかり整理しておくことが重要です。

復習として押さえておきたい基本設定の例

デフォルトの動きを理解したうえで、次のステップとして設定クラスを作成すると、ログインやログアウトの挙動を自分で制御できるようになります。以下は、よく使われる基本的なセキュリティ設定のサンプルです。この記事で学んだ内容と照らし合わせながら確認してみてください。


@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .defaultSuccessUrl("/", true)
            )
            .logout(logout -> logout
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login?logout")
            );
        return http.build();
    }
}

このような設定を書くことで、デフォルトの動きをベースにしつつ、自分のアプリケーションに合わせたセキュリティ制御が可能になります。いきなりすべてを理解しようとせず、まずは「デフォルトではこう動く」「設定を追加するとここが変わる」という感覚を身につけることが大切です。

先生と生徒の振り返り会話

生徒

「Spring Securityって難しそうだと思っていましたが、デフォルトの動きを知るだけでも全体の流れが分かってきました」

先生

「それは良いですね。最初は設定を書くよりも、まず動きを観察することが大切なんです」

生徒

「ログイン画面やログアウトが自動で用意されている理由も、セキュリティを守るためだと分かって安心しました」

先生

「その理解があれば、次にカスタマイズするときも迷いません。デフォルトの挙動を知っている人ほど、設定が書きやすくなります」

生徒

「まずはこの仕組みをしっかり頭に入れて、少しずつ設定クラスにも挑戦してみます」