SpringSecurity Configurer 源码分析

概述

spring security 为所有的 configurer 提供了一个 抽象类 AbstractConfiguredSecurityBuilder，其类关系如下：

image-20210924144312842

AbstractConfiguredSecurityBuilder 通过关联 SecurityConfigurerAdapter、关联并组合 SecurityConfigurer、ObjectPostProcessor，并继承 AbstractSecurityBuilder 实现了 SecurityBuilder 接口

SecurityBuilder

/**
 * 构造某个对象的接口定义
 *
 * @param  要构造的对象的类型
 * @author Rob Winch
 * @since 3.2
 */
public interface SecurityBuilder {

    /**
     * 调用此方法构造对象，返回该对象或者 null 
     * @return 如果实现类支持构造该对象，则返回构造后的对象 或 null
     * @throws Exception 如果发生错误则抛出异常
     */
    O build() throws Exception;
}

AbstractSecurityBuilder

/**
 * SecurityBuilder 的基础实现类：职责为保证对象只被构建一次，并扩展一个获取构建后对象的方法
 * time.
 *
 * @param  要构造的对象的类型
 * @author Rob Winch
 *
 */
public abstract class AbstractSecurityBuilder implements SecurityBuilder {

    private AtomicBoolean building = new AtomicBoolean();

    private O object;

    @Override
    public final O build() throws Exception {
        if (this.building.compareAndSet(false, true)) {
            this.object = doBuild();
            return this.object;
        }
        throw new AlreadyBuiltException("This object has already been built");
    }

    /**
     * 获取构建后的对象。如果还没有被构建，则抛出异常
     * @return 构建后的对象
     */
    public final O getObject() {
        if (!this.building.get()) {
            throw new IllegalStateException("This object has not been built");
        }
        return this.object;
    }

    /**
     * 子类实现这个方法，执行构建过程
     * @return 如果子类支持构造该对象，则返回构造后的对象 或 null
     * @throws Exception 如果发生错误则抛出异常
     */
    protected abstract O doBuild() throws Exception;

}

SecurityConfigurer

/**
 * 允许配置 SecurityBuilder，所有实现类的 SecurityConfigurer 实例运行前须首先执行 init 方法。当所有实现类的 init 
 * 方法执行完成后，调用所有实现类的 configure 方法
 *
 * @param  被 B（SecurityBuilder）构建出来的对象类型
 * @param  构造对象 O 的 SecurityBuilder 类型，这也是将要被配置的对象类型
 * @author Rob Winch
 * @see AbstractConfiguredSecurityBuilder
 */
public interface SecurityConfigurer> {

    /**
     * 初始化 SecurityBuilder。这里应该只共享的创建后、修改后的状态数据，而不应该共享
     * SecurityBuilder 构建过程中的对象属性。这样保证了 SecurityBuilder 的 configure 
     * 方法在构建时使用正确的共享对象。配置对象应该在此被应用。
     *
     * @param builder 
     * @throws Exception
     */
    void init(B builder) throws Exception;

    /**
     * 配置 SecurityBuilder 必要的属性
     * {@link SecurityBuilder}.
     * @param builder
     * @throws Exception
     */
    void configure(B builder) throws Exception;

}

ObjectPostProcessor

/**
 * 允许初始化对象。通常用来调用 Aware methods、InitializingBean#afterPropertiesSet()。并且保证 
 * DisposableBean#destroy() 被调用。
 *
 * @param  此 ObjectPostProcessor 支持的对象类型
 * @author Rob Winch
 * @since 3.2
 */
public interface ObjectPostProcessor {

    /**
     * 初始化对象，可能返回一个需要被使用的修改后的新对象
     * @param 要初始化的对象
     * @return 初始化后的对象
     */
     O postProcess(O object);

SecurityConfigurerAdapter

/**
 * SecurityConfigurer 的适配器类，它允许子类只实现他们感兴趣的方法。 同时它的 and() 方法也提供了一种获得对正在配置
 * 的 SecurityBuilder 的引用的机制。
 *
 * @param  被构建的对象
 * @param  构建 O 对象的构建器，同时也是此 SecurityConfigurerAdapter 对象正在配置的对象
 * @author Rob Winch
 * @author Wallace Wadge
 */
public abstract class SecurityConfigurerAdapter> implements SecurityConfigurer {

    private B securityBuilder;

    private CompositeObjectPostProcessor objectPostProcessor = new CompositeObjectPostProcessor();

    @Override
    public void init(B builder) throws Exception {
    }

    @Override
    public void configure(B builder) throws Exception {
    }

    /**
     * 使用完 SecurityConfigurer 之后获取 SecurityBuilder 引用。这在链式调用方法时非常有用。
     * 
     * @return 返回 SecurityBuilder 来支持进一步的自定义配置
     */
    public B and() {
        return getBuilder();
    }

    /**
     * 获取 SecurityBuilder 对象引用。不能为 null。
     * @return SecurityBuilder 对象引用
     * @throws IllegalStateException 如果 securityBuilder 是 null
     */
    protected final B getBuilder() {
        Assert.state(this.securityBuilder != null, "securityBuilder cannot be null");
        return this.securityBuilder;
    }

    /**
     * 执行对象的后置处理。默认是代理给 objectPostProcessor 对象
     * 
     * @param object 被执行后置处理的对象
     * @return 返回将要被使用的（修改后的）对象
     */
    @SuppressWarnings("unchecked")
    protected  T postProcess(T object) {
        return (T) this.objectPostProcessor.postProcess(object);
    }
  
    /**
     * 添加此对象（SecurityConfigurerAdapter）的一个后置处理器 ObjectPostProcessor 对象。
     * 默认不做任何事情
     * 
     * @param objectPostProcessor 将要被使用的后置处理器
     */
    public void addObjectPostProcessor(ObjectPostProcessor objectPostProcessor) {
        this.objectPostProcessor.addObjectPostProcessor(objectPostProcessor);
    }

    /**
     * 给对象装配将要使用的 SecurityBuilder。这个过程是在调用  
     * AbstractConfiguredSecurityBuilder#apply(SecurityConfigurerAdapter) 方法时自动执行。
     * 
     * @param builder the {@link SecurityBuilder} to set
     */
    public void setBuilder(B builder) {
        this.securityBuilder = builder;
    }

    /**
     * 一个代理多个 ObjectPostProcessor 实现对象的 ObjectPostProcessor 代理类
     *
     * @author Rob Winch
     */
    private static final class CompositeObjectPostProcessor implements ObjectPostProcessor