我很难确切地理解Spring Security/Sping Boot 在引擎盖下做了什么，以及我需要实现什么来启动和运行基于表单的身份验证（https://docs.spring.io/spring-security/reference/servlet/authentication/passwords/form.html）。
作为参考，我正在构建一个web应用程序，目前正在开发后端，它是用Sping Boot 开发的。数据存储在一个非关系数据库中。我还没有构建前端，我使用Postman来测试我的API。
鉴于官方文档（https://docs.spring.io/spring-security/reference/features/index.html）的庞大规模和分散性，我遵循了这篇文章（https://www.youtube.com/watch?v=her_7pa0vrg）和这篇教程（https://www.marcobehler.com/guides/spring-security），以了解如何使用Spring Security。这两篇教程都使用了一个已弃用的类，但我选择暂时使用它，以便更容易地构建功能性应用程序-稍后将对其进行更改。
我设法理解的是SpringSecurity使用一系列方法过滤客户机请求（包含在一系列Filter类中），我们所做的基本上是 * 声明 * 这些过滤器应该如何操作，而不是自己编写代码。这个声明是通过一个Java配置类完成的，它确定哪些资源是公共可用的，这些设备被隐藏在认证墙之后并且除了被认证之外还需要特定的许可才能被访问。此外，该配置文件也是我们声明允许使用哪些身份验证方法的地方（基于表单的身份验证属于此类别）。
以下是我的配置文件（经过编辑以便于理解）：

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

  private final PasswordEncoder passwordEncoder;
  private final AppUserDetailsService appUserService;

  @Autowired
  public SecurityConfiguration(PasswordEncoder passwordEncoder, AppUserDetailsService appUserService){
    this.passwordEncoder = passwordEncoder;
    this.appUserService = appUserService;
  }

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
    .authorizeRequests()
      .antMatchers("/").permitAll()
      // ... other configuration to protect resources
    .formLogin()
      .loginPage("/login")
      .permitAll()
    .and()
    .logout()
      .permitAll()
      .logoutSuccessUrl("/login")
      .and()
    .httpBasic();
  }

  @Override
  protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(daoAuthenticationProvider());
  }

  @Bean
  public DaoAuthenticationProvider daoAuthenticationProvider() {
    DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
    provider.setPasswordEncoder(passwordEncoder);
    provider.setUserDetailsService(appUserService);
    return provider;
  }
}

其中passwordEncoder和appUserService是两个组件，它们在各自的类中声明，应分别用于对用户密码进行编码和从数据库中检索用户身份验证详细信息（这些信息位于实现UserDetails接口的类中，请参见https://docs.spring.io/spring-security/site/docs/current/api/org/springframework/security/core/userdetails/UserDetails.html和）。
现在，根据我对官方文档（https://docs.spring.io/spring-security/reference/servlet/authentication/passwords/form.html）的理解，我在配置类中构建的DaoAuthenticationProvider应该负责身份验证问题。除了上面提到的内容，我不需要在代码中定义任何其他内容。对吗？今天这似乎不起作用，但我可能在我的Postman请求中出错了-提前感谢！
EDIT（参考我在@Toerktumlare的回答下的第二批评论）：
我的配置文件现在如下所示（省略了UserDetailsService和PasswordEncrypter）：

@Configuration
public class SecurityConfiguration {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests((authz) -> authz
                .anyRequest().authenticated()
                .antMatchers("/").permitAll()
                .antMatchers("/register/**").permitAll()
                .antMatchers("someUrl/{username}").access("@userSecurity.isSameUser(authentication, #username)")
                .antMatchers("/someOtherUrl/{username}/**").access("@userSecurity.isSameUser(authentication, #username)")
            )
            .formLogin((formLogin) ->
                formLogin.loginPage("/login")
                         .permitAll()                        
            )
            .logout((logout) ->
                logout.deleteCookies("remove")
                      .invalidateHttpSession(false)
                      .logoutSuccessUrl("/login")
            );
        return http.build();
    }
}

我得到了这个编译错误：“类型AuthorizeHttpRequestsConfigurer.AuthorizedUrl中的方法access（AuthorizationManager）不适用于参数（String）"，这是我得到的。我不明白的是，官方文档似乎确实使用了带有字符串参数的.access（）方法（https：//docs.spring.io/spring-security/reference/servlet/authorization/expression-based.html#el-access-web-beans）。我猜他们使用了不同的.access（）方法，但我看不出是怎么回事。