Lxn2zh的博客

匿名身份过滤器，这个过滤器个人认为很重要，需要将它与UsernamePasswordAuthenticationFilter 放在一起比较理解，spring security为了兼容未登录的访问，也走了一套认证流程，只不过是一个匿名的身份。表单提交了username和password，被封装成token进行一系列的认证，便是主要通过这个过滤器完成的，在表单认证的方法中，这是最最关键的过滤器。这个过滤器决定了访问特定路径应该具备的权限，访问的用户的角色，权限是什么？访问的路径需要什么样的角色和权限？

确认该请求是否需要认证，如果需要认证且此时还没有进行认证，则尝试进行认证，调用UsernamePasswordAuthenticationFilter的attemptAuthentication方法，将从请求中获取的用户名和密码封装成UsernamePasswordAuthenticationToken对象(认证状态为未认证)UserDetailsService返回的UserDetails被封装成Authentication。如果认证失败则执行unsuccessfulAuthentication。

的方式来配置DelegatingFilterProxy，其会自动为每个url注册springSecurityFilterChain过滤器(也就是DelegatingFilterProxy)，添加一个ContextLoaderListener来载入WebSecurityConfig。使用@EnableWebSecurity注解来启用web安全功能，需要配置在实现了WebSecurityConfigurer或者继承WebSecurityConfigurerAdapter类的bean上。使用自定义的用户服务。

DaoAuthenticationProvider 该类是AuthenticationProvider最常用的实现类，使用UserDetailsService来加载UserDetails，用来获取用户提交的用户名和密码对比正确性，实现了其父类的两个抽象方法，通过该类来进行认证用户。其中的用户名密码都是spring security生成或者配置的，但是在实际使用中用户名和密码都是从数据库去进行读取的，所以这段逻辑需要进行自定义，如果需要自定义逻辑时，需要实现 UserDetailsService 接口。