深入剖析Spring Security: 底层源码视角下的初始化流程

  Spring Security是一个全面的、高度可定制的安全框架，专为Java应用程序设计，旨在提供身份验证和授权功能，确保应用的安全性。它源自Acegi Security项目，后被整合进Spring生态系统并更名。该框架利用Spring AOP（面向切面编程）和Servlet过滤器来实施安全控制，支持多种安全策略和认证机制。

  再高版本的Spring Security中将授权功能进行了提取，形成了一个独立项目spring-authorization-server。所以使用高版本时需要注意该变化，避免引入的依赖缺少。

1.Spring Security整体工作流程

  Spring Security是基于过滤器来进行认证和授权的，那么其工作的位置在哪里呢，具体如下图所示：

  由上图可知DelegatingFilterProxy是Spring Framework和Spring Security之间建立联系的桥梁。通过DelegatingFilterProxy来引入Spring Security所定义的一系列过滤器。那么DelegatingFilterProxy是如何起到承上启下的呢？

2.DelegatingFilterProxy

  从名字上看就知道其是一个代理，那么该代理是何时绑定到Tomcat中的Context组件上进而被servlet匹配到，又是如何调用Spring Security中的FilterChainProxy？这一步骤离不开Spring Boot的自动装配，其引入了一个SecurityFilterAutoConfiguration自动配置类，在该配置类中帮我们创建了DelegatingFilterProxy，具体如下：

  再将调用该ServletContextInitializer接口时会调用DelegatingFilterProxyRegistrationBean的getFilter方法，将我们的DelegatingFilterProxy进而绑定到context组件中，进而匹配何时的servlet。 至于RegistrationBean何时调用初始化的本文章不做过多介绍，感兴趣的可以看一下：