开篇：Web 安全不是可选项

想象你开了一家公司，大楼有很多房间。你不会让任何人随便进出吧？至少得做两件事：

1. 认证（Authentication）：你是谁？请出示工牌。
2. 授权（Authorization）：你能去哪？实习生不能进机房。

Spring Security 就是帮你在 Web 应用里干这两件事的框架。只要引入一个依赖，所有接口立刻被"锁上"，默认用户名 user，密码在启动日志里随机生成。