在分析SpringSecurity前，基于多年前使用SpringSecurity和近年来使用Shiro的经验， SpringSecurity这些年在发展和SpringBoot整合之后，也逃不出以下的一些套路：
1. 提供一个AuthenticationManager，用于登录认证
2. 提供一个web的过滤器链，用于保证web请求的安全处理，这个过滤器链中会包括判断用户是否登录，处理用户的认证请求，基于URL的路径检查用户是否能够访问特定的请求等过滤器
3. 提供一个获取用户数据的接口实现
4. 提供一个方法拦截器，用于基于方法的细粒度的授权控制
以上的1、2、3项都是必要的配置，4是增强级配置可以没有
下面我们来看下 SpringSecurity 如何来完成上述1、2、3的配置
一. 上文提到过 org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter 这个类，springboot只要类路径下能找到 WebSecurityConfigurer 接口的实现类后，就不会加载相应的默认配置。 通过重写一些方法来覆盖默认的一些配置
@Configuration
@EnableWebSecurity
public class FormLoginSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests().antMatchers("/**").hasRole("USER").and().formLogin(); //拦截所有URL的访问，将不具备USER角色的用户将被导航到登录页
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.inMemoryAuthentication().withUser("user").password("password").roles("USER"); //基于内存的用户认证
}
}
从上面这个例子可以看出，我们自己实现的子类能够做这些事：
- 基于url的路径检查哪些当前的访问是不是具备需要的权限（角色），如果不具备相应的角色，则将其导航至表单认证页面
- 基于AuthenticationManagerBuilder 调用其不同方法实现不同的认证机制
这样基本能解决授权和认证，但实际使用时我们不会用例子中的内存数据去完成用户认证，而是通过访问后台的数据库等方式去完成认证，所以还需要配置合适的认证管理器AuthenticationManager和合适的获取用户数据的接口UserDetailsService的实现，下面是AuthenticationManager接口和UserDetailsService的源码：
public interface AuthenticationManager {
Authentication authenticate(Authentication authentication)
throws AuthenticationException;
}
public interface UserDetailsService {
UserDetails loadUserByUsername(String username) throws UsernameNotFoundException; // 用于通过用户名获取用户信息
}
二 . 我们发现除了上文提到的SecurityAutoConfiguration自动配置类外，Springboot 还在 spring.factorys 提供UserDetailsServiceAutoConfiguration类，这个配置类中配置了
UserDetailsService接口的bean实现UserDetailsService, 这是一个基于内存用户数据的实现，当然这是一个默认配置，所以我们只要提供了UserDetailsService接口的bean配置，就将覆盖默认的获取用户的方式
@Configuration
@ConditionalOnClass(AuthenticationManager.class)
@ConditionalOnBean(ObjectPostProcessor.class)
@ConditionalOnMissingBean({ AuthenticationManager.class, AuthenticationProvider.class,
UserDetailsService.class })
public class UserDetailsServiceAutoConfiguration { private static final String NOOP_PASSWORD_PREFIX = "{noop}"; private static final Pattern PASSWORD_ALGORITHM_PATTERN = Pattern
.compile("^\\{.+}.*$"); private static final Log logger = LogFactory
.getLog(UserDetailsServiceAutoConfiguration.class); @Bean
@ConditionalOnMissingBean(type = "org.springframework.security.oauth2.client.registration.ClientRegistrationRepository")
@Lazy
public InMemoryUserDetailsManager inMemoryUserDetailsManager(
SecurityProperties properties,
ObjectProvider<PasswordEncoder> passwordEncoder) {
SecurityProperties.User user = properties.getUser();
List<String> roles = user.getRoles();
return new InMemoryUserDetailsManager(User.withUsername(user.getName())
.password(getOrDeducePassword(user, passwordEncoder.getIfAvailable()))
.roles(StringUtils.toStringArray(roles)).build());
} private String getOrDeducePassword(SecurityProperties.User user,
PasswordEncoder encoder) {
String password = user.getPassword();
if (user.isPasswordGenerated()) {
logger.info(String.format("%n%nUsing generated security password: %s%n",
user.getPassword()));
}
if (encoder != null || PASSWORD_ALGORITHM_PATTERN.matcher(password).matches()) {
return password;
}
return NOOP_PASSWORD_PREFIX + password;
} }
三. 通过上述的分析，认证的用户数据来源和基于对url资源的访问授权检查的配置都有了，就欠缺一个过滤器链了，可以得出这个过滤器链也是有默认配置的，在上文中介绍过
SecurityAutoConfiguration这个配置类会导入三个配置类 SpringBootWebSecurityConfiguration.class , WebSecurityEnablerConfiguration.class, SecurityDataConfiguration. 上文分析了SpringBootWebSecurityConfiguration，现在分析下 WebSecurityEnablerConfiguration ，还是看源码：
@Configuration
@ConditionalOnBean(WebSecurityConfigurerAdapter.class)
@ConditionalOnMissingBean(name = BeanIds.SPRING_SECURITY_FILTER_CHAIN)
@ConditionalOnWebApplication(type = ConditionalOnWebApplication.Type.SERVLET)
@EnableWebSecurity
public class WebSecurityEnablerConfiguration { }
通过源码发现引入了 @EnableWebSecurity ，再看EnableWebSecurity源码：
@Retention(value = java.lang.annotation.RetentionPolicy.RUNTIME)
@Target(value = { java.lang.annotation.ElementType.TYPE })
@Documented
@Import({ WebSecurityConfiguration.class,
SpringWebMvcImportSelector.class,
OAuth2ImportSelector.class })
@EnableGlobalAuthentication
@Configuration
public @interface EnableWebSecurity { /**
* Controls debugging support for Spring Security. Default is false.
* @return if true, enables debug support with Spring Security
*/
boolean debug() default false;
}
又发现导入了 WebSecurityConfiguration.class ，在这个类中有如下配置：
/**
* Creates the Spring Security Filter Chain
* @return the {@link Filter} that represents the security filter chain
* @throws Exception
*/
@Bean(name = AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME)
public Filter springSecurityFilterChain() throws Exception {
boolean hasConfigurers = webSecurityConfigurers != null
&& !webSecurityConfigurers.isEmpty();
if (!hasConfigurers) {
WebSecurityConfigurerAdapter adapter = objectObjectPostProcessor
.postProcess(new WebSecurityConfigurerAdapter() {
});
webSecurity.apply(adapter);
}
return webSecurity.build();
}
这也就是springSecurity 默认帮我们配置的过滤器链的bean ，先通过写一个单元测试，看看这个默认帮我们配置的过滤器链的bean 里面都包含了哪些过滤器：
@RunWith(SpringRunner.class)
@SpringBootTest(classes=App.class)
public class FilterChainProxyTest {
@Autowired
FilterChainProxy chain ; @Test
public void test() {
SecurityFilterChain filterChain = chain.getFilterChains().get(0) ;
List<Filter> filters = filterChain.getFilters() ;
for(Filter filter:filters) {
System.out.println( filter.getClass().getSimpleName() );
}
} }
执行后输出：
WebAsyncManagerIntegrationFilter
SecurityContextPersistenceFilter
HeaderWriterFilter
CsrfFilter
LogoutFilter
UsernamePasswordAuthenticationFilter
DefaultLoginPageGeneratingFilter
DefaultLogoutPageGeneratingFilter
BasicAuthenticationFilter
RequestCacheAwareFilter
SecurityContextHolderAwareRequestFilter
AnonymousAuthenticationFilter
SessionManagementFilter
ExceptionTranslationFilter
FilterSecurityInterceptor
默认竟然在链中配置了15个过滤器，已经考虑得很周全了， 所以这个bean一般情况下我们不需要去自定义配置，我们可以通过对WebSecurityConfigurerAdapter 中一些方法的重写来改变这个过滤器链中的内容，从而达到定制的目的就可以了。