Spring Security原理篇(三) HttpSecurity

1.初始化HttpSecurity对象

从前面的文章中，我们已经提到在WebSecurityConfigurerAdapter的初始化方法init()中，通过getHttp()方法获取到了HttpSecurity的对象，我们再来看一下init()这个方法的源代码

    /**
     * @param web
     * @throws Exception
     */
    public void init(final WebSecurity web) throws Exception {
        final HttpSecurity http = getHttp();
        web.addSecurityFilterChainBuilder(http).postBuildAction(new Runnable() {
            public void run() {
                FilterSecurityInterceptor securityInterceptor = http
                        .getSharedObject(FilterSecurityInterceptor.class);
                web.securityInterceptor(securityInterceptor);
            }
        });
    }

这个方法的具体作用已经在上一篇文章中说过，先构建HttpSecurity对象，然后通过WebSecurity对象的addSecurityFilterChainBuilder()方法添加到securityFilterChainBuilders的List中，最后用来组件过滤器链。

1.1 WebSecurityConfigurerAdapter的getHttp()方法

• 首先我们还是引入一下这个方法的源代码

protected final HttpSecurity getHttp() throws Exception {
        //如果已经存在HttpSecurity 对象，则返回
        if (http != null) {
            return http;
        }
        //这里主要还是关于异常的一些处理，这里我们最后的文章统一再说，先给自己留个坑，先猜测一下吧
        DefaultAuthenticationEventPublisher eventPublisher = objectPostProcessor
                .postProcess(new DefaultAuthenticationEventPublisher());
    localConfigureAuthenticationBldr.authenticationEventPublisher(eventPublisher);
           //构建AuthenticationManager对象，这个对象管理认证，后面我们再说
        AuthenticationManager authenticationManager = authenticationManager();
        authenticationBuilder.parentAuthenticationManager(authenticationManager);

            //创建共享对象
        Map, Object> sharedObjects = createSharedObjects();
       
        //构建HttpSecurity 需要用到authenticationBuilder,sharedObjects
        http = new HttpSecurity(objectPostProcessor, authenticationBuilder,
                sharedObjects);

        //允许默认配置的时候
        if (!disableDefaults) {
            // @formatter:off
            http
                .csrf().and()
                .addFilter(new WebAsyncManagerIntegrationFilter())
                .exceptionHandling().and()
                .headers().and()
                .sessionManagement().and()
                .securityContext().and()
                .requestCache().and()
                .anonymous().and()
                .servletApi().and()
                .apply(new DefaultLoginPageConfigurer<>()).and()
                .logout();
            // @formatter:on
            ClassLoader classLoader = this.context.getClassLoader();
            List defaultHttpConfigurers =
                    SpringFactoriesLoader.loadFactories(AbstractHttpConfigurer.class, classLoader);

            for(AbstractHttpConfigurer configurer : defaultHttpConfigurers) {
                http.apply(configurer);
            }
        }

        //??configure??
        configure(http);
        return http;
    }

• 我们可以从上面的代码中可以知道，因为HttpSecurity构造函数需要AuthenticationManagerBuilder和sharedObjects 对象，上面的代码先创建AuthenticationManagerBuilder的对象，然后填充了共享对象的map，然后调用HttpSecueity的构造函数构造出来一个HttpSecurity的对象，然后configure(http)，这个方法最后再讲，关于AuthenticationManagerBuilder我们到用户认证的时候再去专门讲，而sharedObjects我们也需要专门篇幅来将讲解，这些看似细节又复杂的东西，怕混乱到影响这篇文章重点需要讲解的HttpSecurity

1.2 HttpSecurity 类的大体理解

1.2.1 HttpSecurity的类图

HttpSecurity类图

• 在说Filter的时候我们说到过WebSecurity的build()方法的时候有很具体的说到AbastractSecurityBuilder和AbstractConfiguredSecurityBuilder这两个类中build()方法执行的过程我们看一下HttpSecurity类的定义

public final class HttpSecurity extends
        AbstractConfiguredSecurityBuilder
        implements SecurityBuilder,
        HttpSecurityBuilder 

我们可以知道调用HttpSecurity的build()方法的时候返回的就是DefaultSecurityFilterChain的对象，当然具体的还要看HttpSecurity的performBuild()方法

• HttpSecurityBuilder接口

1.2.2HttpSecurity的属性

     //从变量名就可以看到是请求匹配过滤的配置信息    
    private final RequestMatcherConfigurer requestMatcherConfigurer;

    //过滤器列表?
    private List filters = new ArrayList<>();

    //匹配任何请求的匹配器
    private RequestMatcher requestMatcher = AnyRequestMatcher.INSTANCE;

    //过滤器比较.....啥啥啥不知道
    private FilterComparator comparator = new FilterComparator();

• 带着疑问，我们还是要看先了解一下这些属性的值是怎么来的,先挑软柿子捏吧
• 1.requestMatcher可以完整的看一下 AnyRequestMatcher的定义

public final class AnyRequestMatcher implements RequestMatcher {
    public static final RequestMatcher INSTANCE = new AnyRequestMatcher();

    public boolean matches(HttpServletRequest request) {
        //直接return true?那就是说有请求都匹配
        return true;
    }

    @Override
    @SuppressWarnings("deprecation")
    public boolean equals(Object obj) {
        return obj instanceof AnyRequestMatcher
                || obj instanceof org.springframework.security.web.util.matcher.AnyRequestMatcher;
    }

    @Override
    public int hashCode() {
        return 1;
    }

    @Override
    public String toString() {
        return "any request";
    }

    private AnyRequestMatcher() {
    }
}

这个类继承的接口只有matches方法，方法的注释上写的很明白，如果匹配规则就返回true，否则返回false,AnyRequestMatcher永远返回true，说明匹配任何请求。如果需要查看接口定义，可以自行查看类RequestMatcher的源代码，因为简单，节省空间。

*2.comparator是FilterComparator的对象。然而Filter比较器类的定义也是比较简单的，此处还是不引入源代码了，因为后面我们还要讲解，里面很重要的定义了一些我们不知不觉用着的东西。FilterComparator实现Comparator接口，作为比较器，我们只看一下他的一个方法就可以了

public int compare(Filter lhs, Filter rhs) {
    Integer left = getOrder(lhs.getClass());
    Integer right = getOrder(rhs.getClass());
    return left - right;
}

这个getOrder就是Filter上定义Order的数字，还有一种形式就是addFilter这个的。反正就是获取到在过滤器列表中的顺序，不过当然不是连续的顺序

• 3.filters的list 只是通过addFilter()方法添加进来，放一下源代码，不解释了

    public HttpSecurity addFilter(Filter filter) {
        Class filterClass = filter.getClass();
        if (!comparator.isRegistered(filterClass)) {
            throw new IllegalArgumentException(
                    "The Filter class "
                            + filterClass.getName()
                            + " does not have a registered order and cannot be added without a specified order. Consider using addFilterBefore or addFilterAfter instead.");
        }
        this.filters.add(filter);
        return this;
    }

1.2.3 HttpSecurity的部分方法

• 1.构造方法

public HttpSecurity(ObjectPostProcessor