HttpSecurity 是如何组装过滤器链的

有小伙伴们问到这个问题，简单写篇文章和大伙聊一下。

一 SecurityFilterChain

首先大伙都知道，Spring Security 里边的一堆功能都是通过 Filter 来实现的，无论是认证、RememberMe Login、会话管理、CSRF 处理等等，各种功能都是通过 Filter 来实现的。

所以，我们配置 Spring Security，说白了其实就是配置这些 Filter。

以前旧版继承自 WebSecurityConfigurerAdapter 类，然后重写 configure 方法，利用 HttpSecurity 去配置过滤器链，这种写法其实不太好理解，特别对于新手来说，可能半天整不明白到底配置了啥。

现在新版写法我觉得更加合理，因为直接就是让开发者自己去配置过滤器链，类似下面这样：

@Bean
SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http.build();
}

这样开发者更容易理解，自己是在配置配置 SecurityFilter 过滤器链，因为就是要配置这样一个 Bean。

SecurityFilterChain 是一个接口，这个接口只有一个实现类 DefaultSecurityFilterChain。

DefaultSecurityFilterChain 中有一个 requestMatcher，通过 requestMatcher 可以识别出来哪些请求需要拦截，拦截下来之后，经由该类的另外一个属性 filters 进行处理，这个 filters 中保存了我们配置的所有 Filter。

public final class DefaultSecurityFilterChain implements SecurityFilterChain {

	private final RequestMatcher requestMatcher;

	private final List<Filter> filters;

}

因此，在配置 SecurityFilterChain 这个 Bean 的时候，我们甚至可以按照如下方式来写：

@Bean
SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return new DefaultSecurityFilterChain(new AntPathRequestMatcher("/**"));
}

这个配置就表示拦截所有请求，但是拦截下来之后，这些请求所经过的过滤器为空，即拦截所有请求但是不做任何处理。

我们也可以为 DefaultSecurityFilterChain 对象去配置过滤器链，大家看到，它的构造器可以传入 Filter：

但是，Spring Security 过滤器数量有 30+，我们平日开发使用的也在 15 个左右，这样一个一个去配置太麻烦了，每个过滤器并非 new 出来就能用了，还要配置各种属性，所以我们一般不会自己一个一个去配置这些过滤器。

二 SecurityConfigurer

为了简化 Spring Security 中各个组件的配置，官方推出了 SecurityConfigurer，SecurityConfigurer 在 Spring Security 中扮演着非常重要的角色，其主要作用可以归纳为以下几点：

  1. 配置过滤器：在 Spring Security 中，过滤器链中的每一个过滤器都是通过 xxxConfigurer 来进行配置的，而这些 xxxConfigurer 实际上都是 SecurityConfigurer 的实现。这意味着 SecurityConfigurer 负责配置和管理安全过滤器链中的各个组件。
  2. 初始化和配置安全构建器：SecurityConfigurer 接口中定义了两个主要方法：init 和 configure。init 方法用于初始化安全构建器（SecurityBuilder），而 configure 方法则用于配置这个构建器。这两个方法共同确保了安全组件的正确设置和初始化。
  3. 提供扩展点：SecurityConfigurer 的三个主要实现类（SecurityConfigurerAdapter、GlobalAuthenticationConfigurerAdapter、WebSecurityConfigurer）为开发者提供了扩展 Spring Security 功能的点。特别是，大部分的 xxxConfigurer 都是 SecurityConfigurerAdapter 的子类，这使得开发者能够轻松地定制和扩展安全配置。
  4. 构建安全上下文：通过配置和组合不同的 SecurityConfigurer 实现，可以构建一个完整的安全上下文，包括身份验证、授权、加密等各个方面，从而确保应用程序的安全性。

换句话说，Spring Security 中的各种 Filter，其实都有各自对应的 xxxConfigurer，通过这些 xxxConfigurer 完成了对 Filter 的配置。

举几个简答的例子，如：

  • CorsConfigurer 负责配置 CorsFilter
  • RememberMeConfigurer 负责配置 RememberMeAuthenticationFilter
  • FormLoginConfigurer 负责配置 UsernamePasswordAuthenticationFilter

以上是前置知识。

三 SecurityBuilder

SecurityBuilder 是 Spring Security 框架中的一个核心接口，它体现了建造者设计模式，用于构建和配置安全组件。这个接口并不直接与安全功能如认证或授权的具体实现绑定，而是提供了一种灵活的方式来组织和装配这些功能组件，特别是在构建安全上下文和过滤器链过程中。

核心特点

  1. 灵活性与模块化：通过 SecurityBuilder，开发者可以以模块化的方式添加、移除或替换安全配置中的各个部分，而不需要了解整个安全架构的细节。这促进了代码的复用性和可维护性。
  2. 层次结构：在 Spring Security 中，SecurityBuilder及其子类形成了一个层次结构，允许配置像嵌套娃娃一样层层深入，每一个层级都可以贡献自己的配置逻辑，最终形成一个完整的安全配置。
  3. 安全上下文构建：在认证过程中，SecurityBuilder 用于构造 SecurityContext，该上下文中包含了当前认证主体（通常是用户）的详细信息，以及主体所关联的权限和角色。
  4. 过滤器链构建：在 Web 应用中，SecurityBuilder 还用于构建 FilterChainProxy，这是一个关键组件，负责组织和执行一系列的过滤器，这些过滤器负责处理 HTTP 请求的安全性，比如检查用户是否已经登录、是否有权限访问某个资源等。

简而言之，在 SecurityBuilder 的子类 AbstractConfiguredSecurityBuilder 中，有一个名为 configurers 的集合，这个集合中保存的就是我们前面所说的各种 xxxConfigure 对象。

AbstractConfiguredSecurityBuilder 收集到所有的 xxxConfigure 之后，将来会调用每个 xxxConfigure 的 configure 方法完成过滤器的构建。

另外很重要的一点，HttpSecurity 也是一个 SecurityBuilder。因此，HttpSecurity 其实就是帮我们收集各种各样的 xxxConfigure，并存入到 configurers 集合中，以备将来构建过滤器使用。

四 HttpSecurity

根据前面的介绍，我们知道，无论我们怎么配置，最终拿到手的一定是一个 DefaultSecurityFilterChain 对象，因为这是 SecurityFilterChain 的唯一实现类。

所以，HttpSecurity 其实就是在帮我们配置 DefaultSecurityFilterChain，我们看到 HttpSecurity 里边就有两个非常关键的属性：

private List<OrderedFilter> filters = new ArrayList<>();
private RequestMatcher requestMatcher = AnyRequestMatcher.INSTANCE;

这两个恰恰就是构建 DefaultSecurityFilterChain 所需的关键参数。

事实确实如此，我们看到，在 HttpSecurity#performBuild 方法中，就是利用这两个参数构建出来了 DefaultSecurityFilterChain：

@Override
protected DefaultSecurityFilterChain performBuild() {
	ExpressionUrlAuthorizationConfigurer<?> expressionConfigurer = getConfigurer(
			ExpressionUrlAuthorizationConfigurer.class);
	AuthorizeHttpRequestsConfigurer<?> httpConfigurer = getConfigurer(AuthorizeHttpRequestsConfigurer.class);
	boolean oneConfigurerPresent = expressionConfigurer == null ^ httpConfigurer == null;
	this.filters.sort(OrderComparator.INSTANCE);
	List<Filter> sortedFilters = new ArrayList<>(this.filters.size());
	for (Filter filter : this.filters) {
		sortedFilters.add(((OrderedFilter) filter).filter);
	}
	return new DefaultSecurityFilterChain(this.requestMatcher, sortedFilters);
}

这里先对 filters 进行排序，然后据此创建出来 DefaultSecurityFilterChain 对象。

那么问题来了，filters 中的过滤器从何而来呢？

前面我们提到，HttpSecurity 本质上也是一个 SecurityBuilder，我们平时在 HttpSecurity 配置的各种东西，本质上其实就是一个 xxxConfigure，这些 xxxConfigure 被 HttpSecurity 收集起来，最后会遍历收集起来的 xxxConfigure，调用其 configure 方法，最终获取过滤器，并将获取到的过滤器存入到 filters 集合中。

这里松哥以我们最为常见的登录配置为例来和大家捋一捋这个流程。

新版的登录配置我们一般按照如下方式来配置：

http.formLogin(f -> f.permitAll());

这个方法如下：

public HttpSecurity formLogin(Customizer<FormLoginConfigurer<HttpSecurity>> formLoginCustomizer) throws Exception {
	formLoginCustomizer.customize(getOrApply(new FormLoginConfigurer<>()));
	return HttpSecurity.this;
}

从这段源码可以看到，我们配置里边写的 lambda，其实就是在配置 FormLoginConfigurer 对象。

getOrApply 方法主要主要有两方面的作用：

  1. 确保这个 Bean 不会重复配置。
  2. 如果该 Bean 是第一次配置，那么将该对象添加到 SecurityBuilder 中（其实就是 HttpSecurity 对象自身），这个 SecurityBuilder 里边保存了所有配置好的 xxxConfigure 对象，将来在过滤器链构建的时候，会去遍历这些 xxxConfigure 对象并调用其 configure 方法，完成过滤器的构建。

在 FormLoginConfigurer#init 方法中，完成了和登录相关过滤器的配置，如：

  • 登录请求处理过滤器（构造方法中完成的）
  • 注销过滤器的配置
  • 登录失败端点配置
  • 登录页面的配置

这里涉及到的属性都会在对应的 xxxConfigurer 中完成配置。

当过滤器链开始构建的时候，会调用到所有 xxxConfigurer 的 configure 方法，在这个方法中，最终完成相关过滤器的创建，并将之添加到 HttpSecurity 的 filters 属性这个集合中。

FormLoginConfigurer 的 configure 方法在其父类中，如下：

@Override
public void configure(B http) throws Exception {
	PortMapper portMapper = http.getSharedObject(PortMapper.class);
	if (portMapper != null) {
		this.authenticationEntryPoint.setPortMapper(portMapper);
	}
	RequestCache requestCache = http.getSharedObject(RequestCache.class);
	if (requestCache != null) {
		this.defaultSuccessHandler.setRequestCache(requestCache);
	}
	this.authFilter.setAuthenticationManager(http.getSharedObject(AuthenticationManager.class));
	this.authFilter.setAuthenticationSuccessHandler(this.successHandler);
	this.authFilter.setAuthenticationFailureHandler(this.failureHandler);
	if (this.authenticationDetailsSource != null) {
		this.authFilter.setAuthenticationDetailsSource(this.authenticationDetailsSource);
	}
	SessionAuthenticationStrategy sessionAuthenticationStrategy = http
		.getSharedObject(SessionAuthenticationStrategy.class);
	if (sessionAuthenticationStrategy != null) {
		this.authFilter.setSessionAuthenticationStrategy(sessionAuthenticationStrategy);
	}
	RememberMeServices rememberMeServices = http.getSharedObject(RememberMeServices.class);
	if (rememberMeServices != null) {
		this.authFilter.setRememberMeServices(rememberMeServices);
	}
	SecurityContextConfigurer securityContextConfigurer = http.getConfigurer(SecurityContextConfigurer.class);
	if (securityContextConfigurer != null && securityContextConfigurer.isRequireExplicitSave()) {
		SecurityContextRepository securityContextRepository = securityContextConfigurer
			.getSecurityContextRepository();
		this.authFilter.setSecurityContextRepository(securityContextRepository);
	}
	this.authFilter.setSecurityContextHolderStrategy(getSecurityContextHolderStrategy());
	F filter = postProcess(this.authFilter);
	http.addFilter(filter);
}

关键在最后这一句 http.addFilter(filter);，这句代码将配置好的过滤器放到了 HttpSecurity 的 filters 集合中。

其他的也都类似，例如配置 CorsFilter 的 CorsConfigurer#configure 方法，如下：

@Override
public void configure(H http) {
	ApplicationContext context = http.getSharedObject(ApplicationContext.class);
	CorsFilter corsFilter = getCorsFilter(context);
	http.addFilter(corsFilter);
}

这些被添加到 HttpSecurity 的 filters 属性上的 Filter，最终就成为了创建 DefaultSecurityFilterChain 的原材料。

类似的道理，我们也可以分析出 disable 方法的原理，例如我们要关闭 csrf，一般配置如下：

.csrf(c -> c.disable());

那么很明显，这段代码其实就是调用了 CsrfConfigurer 的 disable 方法：

public B disable() {
	getBuilder().removeConfigurer(getClass());
	return getBuilder();
}

该方法直接从 SecurityBuilder 的 configurers 集合中移除了 CsrfConfigurer，所以导致最终调用各个 xxxConfigure 的 configure 方法的时候，没有 CsrfConfigurer#configure 了，就导致 csrf 过滤器没有配置上，进而 CSRF filter 失效。

如果小伙伴们想要彻底学会 Spring Security，那么不妨看看我最近刚刚录完的 Spring Security+OAuth2 教程。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/667310.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

solr-8.11.3

solr-8.11.3

https://solr.apache.org/downloads.html https://archive.apache.org/dist/solr/solr/ F:\Document_Solr.apache.org\solr-8.11.3\bin Microsoft Windows [版本 10.0.19045.2965] (c) Microsoft Corporation。保留所有权利。 C:\Users\Administrator>F: F:\> F:\>…
阅读更多...
为啥装了erlang，还报错erl: command not found？

为啥装了erlang，还报错erl: command not found？

转载说明&#xff1a;如果您喜欢这篇文章并打算转载它&#xff0c;请私信作者取得授权。感谢您喜爱本文&#xff0c;请文明转载&#xff0c;谢谢。 问题背景&#xff1a; 在一台不通外网的服务器上装rabbitmq&#xff0c;然后在启动的时候&#xff0c;遇到了报错 “/usr/lib/…
阅读更多...
linux可观测性ebpf(一) ----------- 环境搭建

linux可观测性ebpf(一) ----------- 环境搭建

参考书籍 开发环境 Ubuntu 18.04.6 LTS (GNU/Linux 5.4.0-150-generic x86_64) 1.1 下载内核源码 cd /usr/src/ sudo git clone -b v5.4 https://github.com/torvalds/linux.git1.2 下载书中代码 git clone https://github.com/bpftools/linux-observability-with-bpf1.3 编…
阅读更多...
LeetCode2300咒语和药水的成功对数

LeetCode2300咒语和药水的成功对数

题目描述 解析 先对药水排序后每个咒语去二分查找最低满足的药水的位置。 class Solution {public int[] successfulPairs(int[] spells, int[] potions, long success) {int n spells.length, m potions.length;Arrays.sort(potions);for (int i 0; i < n; i) {long ta…
阅读更多...
亚信安慧AntDB数据库与华为数据存储完成兼容性互认证

亚信安慧AntDB数据库与华为数据存储完成兼容性互认证

迎接数智时代&#xff0c;供给核心科技。日前&#xff0c;湖南亚信安慧科技有限公司&#xff08;简称&#xff1a;亚信安慧&#xff09;与华为技术有限公司&#xff08;简称&#xff1a;华为&#xff09;&#xff0c;完成了AntDB数据库产品与OceanProtect备份一体机及Oceanstor…
阅读更多...
PHP框架开发的内容付费问答解惑系统附带seo优化

PHP框架开发的内容付费问答解惑系统附带seo优化

default默认是百度问答模板 sowenda是高仿360问答的。 soso模板是仿腾讯soso问答界面。 一套wap模板&#xff0c;仿天涯问答的手机版。 pc和wap模板后台设置里自由切换&#xff0c;还可以绑定手机独立二级域名。 强大的搜索功能&#xff0c;支持xunsearch全文检索&#xff0c;s…
阅读更多...
代码随想录——二叉搜索树的最小绝对差（Leetcode530）

代码随想录——二叉搜索树的最小绝对差（Leetcode530）

题目链接 层序遍历 /*** Definition for a binary tree node.* public class TreeNode {* int val;* TreeNode left;* TreeNode right;* TreeNode() {}* TreeNode(int val) { this.val val; }* TreeNode(int val, TreeNode left, TreeNode right) …
阅读更多...
Docker中布置Jenkins实现Android项目的自动化构建

Docker中布置Jenkins实现Android项目的自动化构建

因项目需要&#xff0c;要在服务器上使用Jenkins完成Android项目的自动化构建&#xff0c;但服务器上登录的账户没有管理员权限&#xff0c;无法用sudo命令&#xff0c;因此需要把相应环境布置在docker中。 环境搭建 docker容器相关命令 创建容器 docker create -it contai…
阅读更多...
跨境物流系统选择标准：能充分试用，合作灵活的才是好系统

跨境物流系统选择标准：能充分试用，合作灵活的才是好系统

对国际物流商而言&#xff0c;大家都知道跨境物流系统对业务优化有多重要。但是想选择一套适合自己的跨境物流系统却并不是一件简单的事情。 最主要的原因就是现在市场上的国际物流系统确实太多了。不同的功能设计&#xff0c;定价设计&#xff0c;让物流商非常头疼&#xff0…
阅读更多...
基于Lumerical fdtd进行无序光子晶体波导的仿真设计及优化

基于Lumerical fdtd进行无序光子晶体波导的仿真设计及优化

光子晶体是一类通过不同折射率介质周期性的排列而形成的具有光波长量级的周期性人工微型结构&#xff0c;相比于传统晶体来说&#xff0c;由于介电函数的周期性分布&#xff0c;光子晶体也会产生一些类似于传统晶体的带隙&#xff0c;使光局域在带隙中无法传播。我们在完整的光…
阅读更多...
JavaScript解构赋值

JavaScript解构赋值

一、数组解构 以上要么不好记忆&#xff0c;要么书写麻烦&#xff0c;此时可以使用解构赋值的方法让代码更简洁。 数组解构是将数组的单元值快速批量赋值给一系列变量的简洁语法。 基本语法&#xff1a; 1、赋值运算符左侧的[]用于批量声明变量&#xff0c;右侧数组的单元值将…
阅读更多...
轻量级动态可监控线程池 - DynamicTp

轻量级动态可监控线程池 - DynamicTp

一、背景介绍 使用线程池ThreadPoolExecutor的过程中你是否有以下痛点呢&#xff1f; 代码中创建了一个 ThreadPoolExecutor&#xff0c;但是不知道那几个核心参数设置多少比较合适凭经验设置参数值&#xff0c;上线后发现需要调整&#xff0c;改代码重新发布服务&#xff0c…
阅读更多...
关于ida如何进行远程linux调试(详解)

关于ida如何进行远程linux调试(详解)

首先我们需要安装工具软件VMware虚拟机和finalshell&#xff0c;并在虚拟机中安装centos 7系统&#xff0c;还要将finalshell连接到该系统中&#xff0c;具体操作可以去b站搜黑马Linux学习&#xff0c;学完该课程的p5&#xff0c;p6&#xff0c;p8即可&#xff0c;我接下来讲的…
阅读更多...
api网关kong对高频的慢接口进行熔断

api网关kong对高频的慢接口进行熔断

一、背景 在生产环境&#xff0c;后端服务的接口响应非常慢&#xff0c;是因为数据库未创建索引导致。 如果QPS低的时候&#xff0c;因为后端服务有6个高配置的节点&#xff0c;虽然接口慢&#xff0c;还未影响到服务的正常运行。 但是&#xff0c;当QPS很高的时候&#xff0c…
阅读更多...
顶级手机数据恢复软件 [2024 更新]

顶级手机数据恢复软件 [2024 更新]

什么是最好的手机数据恢复软件&#xff1f;在这篇文章中&#xff0c;您将免费了解 6 款最佳手机数据恢复软件&#xff0c;并了解有关如何恢复数据的完整指南。 什么是最好的手机数据恢复软件&#xff1f; 手机数据恢复软件是从智能手机中检索丢失或删除的文件&#xff0c;消息…
阅读更多...
(自适应手机端)响应式服装服饰外贸企业网站模板

(自适应手机端)响应式服装服饰外贸企业网站模板

(自适应手机端)响应式服装服饰外贸企业网站模板PbootCMS内核开发的网站模板&#xff0c;该模板适用于服装服饰网站、外贸网站等企业&#xff0c;当然其他行业也可以做&#xff0c;只需要把文字图片换成其他行业的即可&#xff1b;自适应手机端&#xff0c;同一个后台&#xff0…
阅读更多...
Linux 深入讲解自动化构建工具

Linux 深入讲解自动化构建工具

各位大佬好 &#xff0c;这里是阿川的博客 &#xff0c; 祝您变得更强 个人主页&#xff1a;在线OJ的阿川 大佬的支持和鼓励&#xff0c;将是我成长路上最大的动力 阿川水平有限&#xff0c;如有错误&#xff0c;欢迎大佬指正 Linux一系列的文章&#xff08;质量分均在93分…
阅读更多...
Netty中半包粘包的产生与处理：短连接、固定长度、固定分隔符、预设长度；redis、http协议举例；网络数据的发送和接收过程

Netty中半包粘包的产生与处理：短连接、固定长度、固定分隔符、预设长度；redis、http协议举例；网络数据的发送和接收过程

目录 粘包、半包 相关概念 网络数据发送和接收过程 Netty半包粘包解决方案 ByteBuf获取和默认大小 短链接 固定长度 固定分隔符 预设长度 常见协议代码举例 redis协议 http协议 参考链接 粘包、半包 相关概念 程序处理过程中我们会通过缓冲区接收数据&#xff0c…
阅读更多...
BearPi-HM Nano开发笔记

BearPi-HM Nano开发笔记

小熊派 简单介绍 BearPi-HM Nano开发板是一块专门为鸿蒙OS设计的HarmonyOS开发板&#xff0c;板载高度集成的2.4GHz WLAN SoC芯片Hi3861&#xff0c;并板载NFC电路及标准的E53接口可拓展 E53接口 介绍 E53接口标准为“物联网俱乐部”联合国内多家开发板厂家制定的物联网案…
阅读更多...
QT天气预报项目（写在简历上）

QT天气预报项目（写在简历上）

一、ui设计 实现功能：可以搜索不同的城市进行天气的查询，并且显示未来7天内的天气，并绘制出当天的最高气温和最低气温曲线图。 学到的知识： stylesheet界面美化 Json数据解析 HTTP通信get请求 使用事件过滤器绘制温度曲线 多控件处理（利用数组） 代码整合调试能力 二…
阅读更多...
最新文章

Copyright @ 2022~2023