Spring Security 过滤器注册脉络梳理

目录

• 1 简述
• 2 注册过程
• 2.1 web.xml 配置
• 2.2 EnableWebSecurity 注解
• 2.3 WebSecurityConfiguration 类
• 2.4 WebSecurity 类
• 2.5 FilterChainProxy 类
• 3 小结

1 简述

Spring Security 本质上就是通过一系列的过滤器，进行业务的处理。

Spring Security 在 Servlet 的过滤链（filter chain）中注册了一个过滤器 FilterChainProxy，它会把请求代理到 Spring Security 自己维护的多个过滤链，每个过滤链会匹配一些 URL，如果匹配则执行对应的过滤器。过滤链是有顺序的，一个请求只会执行第一条匹配的过滤链。Spring Security 的配置本质上就是新增、删除、修改过滤器

但是万物终归有源头，过滤器是如何注册进来的，通过过程了解注册的骨架。

注明 这里只是使用了 spring web + spring security，同时使用 web.xml 的风格进行配置，如果你使用 SPI 机制（没有使用 web.xml），殊途同归。

2 注册过程

2.1 web.xml 配置

    springSecurityFilterChain
    org.springframework.web.filter.DelegatingFilterProxy



    springSecurityFilterChain
    /*

其中 DelegatingFilterProxy 类图如下：

根据类图看出，DelegatingFilterProxy 继承 GenericFilterBean，其间接实现了 Filter 接口，所以从类型上看，其也是一个过滤器。

 从 Spring 容器中寻找 targetBeanName=springSecurityFilterChain 的 Bean, 从 DelegatingFilterProxy 的名字上看，知道它其实是一个代理类，真正执行业务的，是 filter-name 指定的 springSecurityFilterChain 这个 bean。接下来，问题来了，springSecurityFilterChain 这个 bean 又是在什么时候注册的呢

2.2 EnableWebSecurity 注解

我们一般在使用 Spring Security 的时候，都会自定义继承 WebSecurityConfigurerAdapter，同时结合使用 EnableWebSecurity 注解，然后在自定义的类中进行各种各样满足业务的工作。

@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    ...
}

这里我们重点关注的是 EnableWebSecurity 注解，查看下其源码，做了两个非常重要的点

• 1 导入 WebSecurityConfiguration 配置。
• 2 通过 @EnableGlobalAuthentication 注解引入全局配置

@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.TYPE)
@Documented
@Import({ 
    WebSecurityConfiguration.class,
    SpringWebMvcImportSelector.class,
    OAuth2ImportSelector.class,
    HttpSecurityConfiguration.class
})
@EnableGlobalAuthentication
@Configuration
public @interface EnableWebSecurity {

   /**
    * Controls debugging support for Spring Security. Default is false.
    * @return if true, enables debug support with Spring Security
    */
   boolean debug() default false;

}

此注解中由使用了 Import 注解引入了其他的 bean，然后查看其源码，重点关注 WebSecurityConfiguration。

2.3 WebSecurityConfiguration 类

这个类里面比较重要的就两个方法：

1 springSecurityFilterChain

springSecurityFilterChain 方法上添加了 @Bean注解，可以知道是创建了springSecurityFilterChain bean

2 setFilterChainProxySecurityConfigurer

这个方式设置了对应的配置，注意，这个方法优先上面的方法执行。

分析其重点代码

private WebSecurity webSecurity;

// 注入 bean
@Bean(name = AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME)
public Filter springSecurityFilterChain() throws Exception {
   boolean hasConfigurers = this.webSecurityConfigurers != null && !this.webSecurityConfigurers.isEmpty();
   boolean hasFilterChain = !this.securityFilterChains.isEmpty();
   ...
   if (!hasConfigurers && !hasFilterChain) {
      WebSecurityConfigurerAdapter adapter = this.objectObjectPostProcessor
            .postProcess(new WebSecurityConfigurerAdapter() {
            });
      this.webSecurity.apply(adapter);
   }
   for (SecurityFilterChain securityFilterChain : this.securityFilterChains) {
      this.webSecurity.addSecurityFilterChainBuilder(() -> securityFilterChain);
      for (Filter filter : securityFilterChain.getFilters()) {
         if (filter instanceof FilterSecurityInterceptor) {
            this.webSecurity.securityInterceptor((FilterSecurityInterceptor) filter);
            break;
         }
      }
   }
   for (WebSecurityCustomizer customizer : this.webSecurityCustomizers) {
      customizer.customize(this.webSecurity);
   }

   // 重点关注
   return this.webSecurity.build();
}
@Autowired(required = false)
public void setFilterChainProxySecurityConfigurer(ObjectPostProcessor