Spring Security 学习系列(6) - Spring Security 配置之间的关联关系

最新推荐文章于 2022-01-31 01:05:26 发布

原创最新推荐文章于 2022-01-31 01:05:26 发布 · 373 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#java

Java 专栏收录该内容

7 篇文章

订阅专栏

本文深入解析了 Spring Security 的配置文件中如何通过 `<http>` 标签建立 Filter 链来实现安全控制，包括认证、授权、登录、登出等功能的实现过程。同时解释了 `authentication-manager` 和 `authentication-provider` 标签之间的协调工作方式。

    <http use-expressions="true">
        <intercept-url pattern="/secure/**" access="hasRole('supervisor')"/>
        <intercept-url pattern="/**" access="isAuthenticated()" />
        <form-login />
        <logout logout-success-url="/loggedout.jsp" delete-cookies="JSESSIONID"/>
        <remember-me />
    </http>

    <authentication-manager>
        <authentication-provider>
            <password-encoder ref="encoder"/>
            <user-service>
                <user name="administrator" password="07a130111f1f911148fc3fa252add84a89fefb39fa4559648a08543f1b79cfbd74dfa6a05e389fc5" authorities="supervisor, user, teller" />
                <user name="operator" password="270bbd890ad86ad4847a49c3b0058ccc3c4c9cfee31446b3cf032c0d4d15354b36473c0f063c6ce7" authorities="user" />
            </user-service>
        </authentication-provider>
    </authentication-manager>

上述看似独立的两段，它们之间是如何协调工作的呢？又是如何建立关系的呢？

这得从Spring Security 的配置解析说起， Spring Security 的遇到 <http> 标签时，会去查看该标签的内容，再根据标签内容建立一系列的 Filter, 组成 FilterChain, 这些Filter 有：

SecurityContextPersistenceFilter

SessionManagementFilter

RequestCacheFilter

SecurityContextHolderAwareRequestFilter

JaasApiIntegrationFilter

ChannelProcessingFilter

FilterSecurityInterceptor

其中 FilterSecurityInterceptor 需要注入AuthenticationManager, Spring Security的方案是看 <http> 标签中的authentication-manager-ref 属性，这个属性直接对应标签 <authentication-manager> 生成的Bean, 使用这种方式则标签 <authcentication-manager> 需要声明Id号。如果该属性什么值都没有，则看一下上下文中有没有 Id 为 org.springframework.security.authenticationManager 的Bean, 这个Bean实际上就是由标签 <authentication-manager> 生成的（不带Id号）。