SpringSecurity专题(二)-常用过滤器

最新推荐文章于 2025-03-25 23:18:28 发布
最新推荐文章于 2025-03-25 23:18:28 发布
阅读量1.7k 收藏 2
点赞数 2
分类专栏： SpringSecurity 文章标签： spring restful java
原文链接：https://blog.youkuaiyun.com/BruceLiu_code/article/details/119785742
版权

文章目录

1.常见的过滤器

过滤器是一种典型的AOP思想，关于什么是过滤器，就不赘述了，谁还不知道凡是web工程都能用过滤器？

接下来咱们就一起看看Spring Security中这些过滤器都是干啥用的，源码我就不贴出来了，有名字，大家可以自己在idea中Double Shift去。也会在后续的学习过程中穿插详细解释。在这里插入图片描述
Spring Security核心就是一组过滤器链，每个过滤器实现一个独立功能，用户请求通过滤器链进行登录、授权、权限校验等操作，最终执行目标服务。

1.1.SecurityContextPersistenceFilter

org.springframework.security.web.context.SecurityContextPersistenceFilter

首当其冲的一个过滤器，非常重要主要是使用SecurityContextRepository在session中保存或更新一个SecurityContext，并将SecurityContext给以后的过滤器使用，来为后续filter建立所需的上下文，SecurityContext中存储了当前用户的认证和权限信息。

1.2.WebAsyncManagerIntegrationFilter

org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter

此过滤器用于继承SecurityContext到Spring异步执行机制中的WebAsyncManager,和spring整合必须的.

1.3.HeaderWriterFilter

org.springframework.security.web.header.HeaderWriterFilter

向请求的header中添加响应的信息，可以在http标签内部使用security:headers来控制

1.4.CsrfFilter

org.springframework.security.web.csrf.CsrfFilter

csrf又称跨域请求伪造，SpringSecurity会对所有post请求验证是否包含系统生成的csrf的token信息，如果不包含，则报错。起到防止csrf攻击的效果。

1.5.LogoutFilter

org.springframework.security.web.authentication.logout.LogoutFilter

匹配URL为/logout的请求，实现用户退出,清除认证信息。

1.6.UsernamePasswordAuthenticationFilter

org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter

认证操作全靠这个过滤器，默认匹配URL为/login且必须为POST请求。

1.6.DefaultLoginPageGeneratingFilter

org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter

如果没有在配置文件中指定认证页面，则由该过滤器生成一个默认认证页面。

1.8.DefaultLogoutPageGeneratingFilter

org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter

由此过滤器可以生产一个默认的退出登录页面

1.9.BasicAuthenticationFilter

org.springframework.security.web.authentication.www.BasicAuthenticationFilter

此过滤器会自动解析HTTP请求中头部名字为Authentication，且以Basic开头的头信息。

1.10.RequestCacheAwareFilter

org.springframework.security.web.savedrequest.RequestCacheAwareFilter

org.springframework.security.web.savedrequest.RequestCacheAwareFilter

1.11.SecurityContextHolderAwareRequestFilter

org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter

针对ServletRequest进行了一次包装，使得request具有更加丰富的API

1.12.AnonymousAuthenticationFilter

org.springframework.security.web.authentication.AnonymousAuthenticationFilter

当SecurityContextHolder中认证信息为空,则会创建一个匿名用户存入到SecurityContextHolder中。

spring security为了兼容未登录的访问，也走了一套认证流程，只不过是一个匿名的身份。

1.13.SessionManagementFilter

org.springframework.security.web.session.SessionManagementFilter

SecurityContextRepository限制同一用户开启多个会话的数量

1.14.ExceptionTranslationFilter

org.springframework.security.web.access.ExceptionTranslationFilter

异常转换过滤器位于整个springSecurityFilterChain的后方，用来转换整个链路中出现的异常

1.15.FilterSecurityInterceptor

org.springframework.security.web.access.intercept.FilterSecurityInterceptor

获取所配置资源访问的授权信息，根据SecurityContextHolder中存储的用户信息来决定其是否有权
限。

好了！这一堆排山倒海的过滤器介绍完了。
那么，是不是spring security一共就这么多过滤器呢？答案是否定的！随着spring-security.xml配置的添加，还会出现新的过滤器。
那么，是不是spring security每次都会加载这些过滤器呢？答案也是否定的！随着spring-security.xml配置的修改，有些过滤器可能会被去掉。

2. spring security过滤器链加载原理

通过前面十五个过滤器功能的介绍，对于SpringSecurity简单入门中的疑惑是不是在心中已经有了答案了呀？

但新的问题来了！我们并没有在web.xml中配置这些过滤器啊？它们都是怎么被加载出来的？
友情提示：前方高能预警，吃饭喝水打瞌睡的请睁大眼睛，专注心神！

2.1.DelegatingFilterProxy

我们在web.xml中配置了一个名称为![springSecurityFilterChain](https://img-blog.csdnimg.cn/cf24841b6c8a40078c51c943f3e5608b.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_Q1NETiBASVTogIHliJg=,size_66,color_FFFFFF,t_70,g_se,x_16)的过滤器DelegatingFilterProxy，接下我直接对DelegatingFilterProxy源码里重要代码进行说明，其中删减掉了一些不重要的代码，大家注意我写的注释就行了！
在这里插入图片描述
下面为springSecurityFilterChain过滤器：
在这里插入图片描述

springSecurityFilterChain过滤器继承：GenericFilterBean

在这里插入图片描述
GenericFilterBean过滤器中的init方法进行初始化：

在这里插入图片描述
DelegatingFilterProxy中的initFilterBean方法
在这里插入图片描述
执行initDelegate方法
在这里插入图片描述
我们通过debug启动查看该方法的运行
在这里插入图片描述
由此可知，DelegatingFilterProxy通过springSecurityFilterChain这个名称，得到了一个FilterChainProxy过滤器。

2.2.FilterChainProxy

通过上面的源码分析我们发现其实创建的是FilterChainProxy这个过滤器，那我们来看下这个过滤器。
在这里插入图片描述
当然我们需要首先来看下doFilter方法
在这里插入图片描述
进入doFilterInternal方法，然后debug查看
在这里插入图片描述
我们看到这15个过滤器被保存到了List容器中了。
对应的 this.getFilters方法如下:
在这里插入图片描述

2.3.SecurityFilterChain

最后看SecurityFilterChain，这是个接口，实现类也只有一个，这才是web.xml中配置的过滤器链对象！
在这里插入图片描述

2.4.DefaultSecurityFilterChain

具体的实现类
在这里插入图片描述

总结：通过上面的代码分析，SpringSecurity中要使用到的过滤器最终都保存在了DefaultSecurityFilterChain对象的List filter对象中。

通过此章节，我们对SpringSecurity工作原理有了一定的认识。但理论千万条，功能第一条，探寻底层，是为了更好的使用框架。

那么，言归正传！到底如何使用自己的页面来实现SpringSecurity的认证操作呢？要完成此功能，首先要有一套自己的页面！

《SpringSecurity框架专题》-02常用过滤器
专业的计算机毕业设计指南
08-26 725
文章目录1.常见的过滤器1.1.SecurityContextPersistenceFilter1.2.WebAsyncManagerIntegrationFilter1.3.HeaderWriterFilter1.4.CsrfFilter1.5.LogoutFilter1.6.UsernamePasswordAuthenticationFilter1.6.DefaultLoginPageGeneratingFilter1.8.DefaultLogoutPageGeneratingFilter1.9.Bas
《SpringSecurity框架专题》-01基础入门
专业的计算机毕业设计指南
08-11 286
文章目录1、安全框架概述2、常用安全框架2、Spring Security 概述2.1.概述2.2.核心功能2.3.历史3、初识Spring Security3.1.Spring Security概念3.2. 快速入门案例3.3. 环境准备3.3.1 创建web项目3.3.2 导入相关的依赖3.3.3.创建相关配置文件3.3.4.web.xml设置3.4. SpringSecurity整合3.4.1.相关jar作用介绍3.4.2.过滤器配置3.4.3.SpringSecurity配置文件设置3.4.4.导入
Spring Security内置过滤器详解
分享技术干货和灵感、推荐新书和好玩的项目、分享Java面试题
08-14 4162
根据前面的示例，我们已经知道启动时会加载18个过滤器，并且已经知道了请求会匹配到DefaultSecurityFilterChain并依次通过这18个过滤器。CsrfFilter我们从OAuth2AuthorizationRequestRedirectFilter开始看，OAuth2开头这非常明显。......
spring security 使用的过滤器还是拦截器
最新发布
qq_37757277的博客
03-25 907
Spring Security 主要通过过滤器链实现请求和响应的安全处理，但也提供了方法级别的安全控制支持，允许你通过拦截器和注解来进行细粒度的安全控制。过滤器用于全局的 HTTP 请求安全管理，而拦截器则用于更具体的方法级别的权限控制。Spring Security 主要是通过过滤器链处理请求（身份认证、权限校验等核心操作），而不是使用拦截器。但在特定情况下，拦截器可以配合 Spring Security 完成一些额外的逻辑处理，比如记录审计日志、扩展特定的请求处理行为等。
【Spring Security系列】Spring Security 过滤器详解与基于JDBC的认证实现
热门推荐
小威的博客
04-18 1万+
Spring Security 的过滤器链由多个过滤器组成，每个过滤器负责处理特定的安全任务。当请求到达应用程序时，它会依次通过过滤器链中的每个过滤器，直到到达目标资源。在过滤器链中，每个过滤器都可以对请求进行拦截、修改或执行其他操作，以确保应用程序的安全性。：负责将安全上下文存储在HttpSession中，以便在后续请求中访问。：处理基于表单的身份验证。它拦截包含用户名和密码的请求，并执行身份验证过程。：处理注销请求，清除安全上下文和会话数据。：捕获并处理认证和授权过程中发生的异常。
spring security 11种过滤器介绍
十万小时之旅
03-28 379
1.HttpSessionContextIntegrationFilter   位于过滤器顶端，第一个起作用的过滤器。   用途一，在执行其他过滤器之前，率先判断用户的session中是否已经存在一个SecurityContext了。如果存在，就把SecurityContext拿出来，放到SecurityContextHolder中，供Spring Security的其他部分使用。如果...
Spring Security in Action 第九章 SpringSecurity常用过滤器介绍
Learning_xzj的博客
01-28 1484
在Spring Security中，HTTP filters（过滤器）对不同的HTTP请求进行过滤。在第三章到第五章，我们讨论了HTTP的认证和授权架构，我经常提到过滤器。在Spring Security中，一般来说，HTTP filters对请求进行过滤。这些过滤器形成了一个责任链。一个过滤器接收一个请求，执行其逻辑，并最终将请求委托给链中的下一个过滤器（图9.1）。图9.1 过滤器链接收请求。每个过滤器使用一个管理器来对请求应用特定的逻辑，并最终将请求沿着链子进一步委托给下一个过滤器。这个想法很简单。当
SpringSecurity专题从入门到源码剖析(五) 核心过滤器
Crazy_liyang的博客
11-04 338
视频教程地址: https://www.bilibili.com/video/BV1kT4y1F7Tc 代码地址: https://gitee.com/crazyliyang/video-teaching 1. 从SpringSecurityDemo项目启动的DEBUG日志中Copy出来的日志信息, 如下是相关部分: o.s.s.web.DefaultSecurityFilterChain : Creating filter chain: any request, [ org.s...
Spring Boot中集成Spring Security 专题
2401_86940371的博客
10-10 2009
当然，Spring Security明确的设计可以处理这种常见需求，但是作为替代你应该使用项目的域对象的安全能力来实现这个目标。例如在默认的安全配置中authorizeRequests()，formLogin()、httpBasic()这三个方法返回的分别是ExpressionUrlAuthorizationConfigurer、FormLoginConfigurer、HttpBasicConfigurer，他们都是SecurityConfigurer接口的实现类，分别代表的是不同类型的安全配置器。
Spring面试专题及答案整理文档.zip
12-31
Spring框架是Java开发中最常用的轻量级框架之一，它以其依赖注入（Dependency Injection，DI）和面向切面编程（Aspect-Oriented Programming，AOP）为核心特性，极大地简化了企业级应用的开发工作。这份“Spring面试...
Spring Security 6 系列之三 - Filter过滤器
代码还是得自己扣
12-18 1666
关于Spring Security的底层原理大概讲这么多。Spring Security的过滤器有那么多，我们这里主要讲的是几个经常使用到的，其它的过滤器后续遇到需要自定义配置的时候，我们再讲解。Spring Security默认配置显然不能符合一个真正的业务需求，那么下一章我们就要开始做各种自定义配置。
spring security 4 小例子带自定义过滤器
03-20
spring security 4 小例子带自定义过滤器
Spring Security（常见过滤器介绍）
weixin_46619605的博客
10-10 1230
Spring Security的常见过滤器梳理
SpringSecurity常用过滤器介绍
wuxiaopengnihao1的博客
07-29 2485
首当其冲的一个过滤器，非常重要主要是使用SecurityContextRepository在session中保存或更新一个SecurityContext，并将SecurityContext给以后的过滤器使用，来为后续filter建立所需的上下文，SecurityContext中存储了当前用户的认证和权限信息。Csrf又称跨域请求伪造，SpringSecurity会对所有post请求验证是否包含系统生成的csrf的token信息，如果不包含则报错，起到防止csrf攻击的效果。...
Spring Security内置过滤器详解_springsecurity过滤器，2024年最新大数据开发开发入门教程
2401_84166896的博客
04-17 1259
/设置SecurityContextHolderStrategy context。//当前请求是否是logoutSuccessUrl指定的地址。//是否是登录请求，是否是重定向的错误请求，是否是登出地址。//该请求已经运行过该过滤，跳过，执行下一个过滤器。//当前请求是否是failureUrl指定的地址。//生成一个默认的登录页。//否则执行下一个过滤器。//地址是/logout。//获取当前的权限配置。//生成一个登出页面。
SpringSecurity过滤器
libo_hh的博客
08-08 1073
一、过滤器加载过程 1.DelegatingFilterProxy 在web.xml中配置过滤器 进入doFilter方法 invokeDelegate方法执行FilterChainProxy的doFilter 最终采用遍历的方式执行十五个默认的过滤器 二、默认的15个过滤器 1.org.springframework.security.web.context.SecurityContextPersistenceFilter 首当其冲的一个过滤器，非常重要 主要是使用SecurityContextR
spring security过滤器
Boss 哥
11-04 545
当在springSecurity配置文件中配置了 时,默认会加上的配置过滤器有： 其中： HttpSessionContextIntegrationFilter 位于过滤器顶端，第一个起作用的过滤器。 用途一，在执行其他过滤器之前，率先判断用户的session中是否已经存在一个SecurityContext了。如果存在，就把Security
（5）spring security - 过滤器
drsonxu的博客
12-28 1313
本章学习了servlet规范中的一些概念，并尝试在servlet容器中和spring容器中注册自定义的过滤器，了解了servlet容器是通过DelegatingFilterProxy 代理调用spring容器中管理的过滤器Bean。也了解了如何配置过滤器的执行顺序，怎样在安全过滤器链中添加安全过滤器。
spring security 相关过滤器
冬阳
08-31 903
Spring Security 提供了 30 多个过滤器。默认情况下Spring Boot 在对 SpringSecurity 进入自动化配置时，会创建一个名为 SpringSecurityFilerChain 的过滤器，并注入到Spring容器中，这个过滤器将负责所有的安全管理，包括用户认证、授权、重定向到登录页面等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值