2025版spring security认证授权详解篇【经典】

目录

一  springsecurity 认证授权

1.1 总流程

1.2 关键代码详解

1.3 资料

二  详解流程

2.1 WebSecurityConfig中config方法的执行顺序

2.2.1 完整的执行流程

2.2.2 完整的代码

2.3 认证流程顺序

2.4 授权流程顺序

2.5 SecurityContextHolder

2.5.1 securityContextHolder的写入

2.5.2 securityContextHolder的获取

2.5.3 线程安全与请求清理*

2.5.4 总结

2.6 完整流程的详解

---

一  springsecurity 认证授权

1.1 总流程

1.阶段1：启动阶段：应用启动时的配置加载顺序；先执行WebSecurityConfig类；Configure(websecurity web) 最先执行，忽略某些请求

Configure(HttpSecurity http) 其次执行，如何保护请求。

Configure(AuthenticationManagerBuilder auth) 最后执行，用户数据从哪里来。Spring security中的websecurityconfig(通常是通过@Enablewebsecurity)注解的配置类)主要是在应用启动阶段执行的。它的核心作用是配置和初始化整个 Spring Security 的过滤器链，而不是在每次请求时都执行

2.阶段2：请求执行阶段：请求处理时执行顺序：先执行usernameandpaaswordauthenticationfilter进行表单认证；

然后通过filtersecurityinterceptor进行授权；期间抛出异常，则执行ExceptionTranslationFilter。ExceptionTranslationFilter 是一个非常重要的过滤器，它负责处理认证和授权过程中抛出的所有异常。

3.configure方法：在应用启动时执行，用于配置和构建安全过滤器链。

认证/授权过滤器：在每个请求到达时执行，是构建好的过滤器链中的一个个执行节点。

启动时configure(...) 方法执行 -> 构建过滤器链 ->运行时请求到达 -> 按链中顺序 先经过认证过滤器 -> 最后经过授权过滤器。

1.2 关键代码详解

1.在websecurityconfig类中加载各种认证，授权类。

2.其中authenticationManager()这个方法在父WebSecurityConfigurerAdapter中

3.其中这里注入的userDetailsService的实现类是UserDetailsServiceImpl

4.认证时候，自动加载通过用户名查询数据库信息。

1.3 资料

29-33 详细说明配置流程执行

https://www.bilibili.com/video/BV15a411A7kP/?spm_id_from=333.337.search-card.all.click&vd_source=34a329e9a5c6f9b4f5dcf2e9fc5bcd01

二  详解流程

2.1 WebSecurityConfig中config方法的执行顺序

2.2.1 完整的执行流程

WebSecurityConfigurerAdapter中有多个configure方法，它们的执行顺序和目的完全不同。加载和配置的总体顺序是：

Step1：configure(WebSecurity web)

执行时机：最早。用于配置全局的、忽略的安全规则。

作用：配置那些需要被 Spring Security完全忽略的请求（通常用于静态资源）。这些请求不会经过任何安全过滤器链。如下：

@Override public void configure(WebSecurity web) throws Exception {     web.ignoring().antMatchers("/css/**", "/js/**", "/images/**"); }