Spring Security（一） 前言

Spring Security

Spring Security,作为spring 家族的一员，在和 Spring 家族的其他成员如 Spring Boot Spring Clond等进行整合时，具有其他框架无可比拟的优势，同时对 OAuth2 有着良好的支持，再加上Spring Cloud对 Spring Security的不断加持（如推出 Spring Cloud Security )，让 Spring Securiy 不知不觉中成为微服务项目的首选安全管理方案。所以学习起来是很有必要的。

整体架构

在Spring Security的架构设计之中，认证和授权是分开的，也就是说无论采用何种认证方式，都不会影响授权。

Spring Security 的过滤链机制

官网上有层层递进的详解，这里就只记述SecurityFilterChain。 SecurityFilterChain是Spring security真正执行认证授权的接口，它只有一个默认实现类DefaultSecurityFilterChain。这个类初始化是从HttpSecurity的build而来。

Security 通过 FilterChainProxy 注册进 SecurityFilterChain。对于这样注册有几点好处：

1. 为spring security的Servlet提供了一个起点；比如你想对Servlet做故障排查，可以在FilterChainProxy添加调试点 。
2. 其次，由于FilterChainProxy是Spring Security使用的中心，它可以执行那些额外的任务。例如，它清除SecurityContext以避免内存泄漏。它还应用了Spring Security的HttpFirewall来保护应用程序免受某些类型的攻击；
3. FilterChainProxy在确定何时应该调用SecurityFilterChain方面提供了更大的灵活性。在Servlet容器中，仅根据URL调用过滤器。然而，FilterChainProxy可以通过利用RequestMatcher接口来决定基于HttpServletRequest中的任何调用；
   FilterChainProxy可以用来决定使用哪个SecurityFilterChain，这样可以为应用程序的不同部分提供完全独立的配置。

还有多重SecurityFilterChain

过滤器完整列表（按顺序）：

ForceEagerSessionCreationFilter
ChannelProcessingFilter
WebAsyncManagerIntegrationFilter
SecurityContextPersistenceFilter
HeaderWriterFilter
CorsFilter
CsrfFilter
LogoutFilter
OAuth2AuthorizationRequestRedirectFilter
Saml2WebSsoAuthenticationRequestFilter
X509AuthenticationFilter
AbstractPreAuthenticatedProcessingFilter
CasAuthenticationFilter
OAuth2LoginAuthenticationFilter
Saml2WebSsoAuthenticationFilter
UsernamePasswordAuthenticationFilter
OpenIDAuthenticationFilter
DefaultLoginPageGeneratingFilter
DefaultLogoutPageGeneratingFilter
ConcurrentSessionFilter
DigestAuthenticationFilter
BearerTokenAuthenticationFilter
BasicAuthenticationFilter
RequestCacheAwareFilter
SecurityContextHolderAwareRequestFilter
JaasApiIntegrationFilter
RememberMeAuthenticationFilter
AnonymousAuthenticationFilter
OAuth2AuthorizationCodeGrantFilter
SessionManagementFilter
ExceptionTranslationFilter
FilterSecurityInterceptor
SwitchUserFilter