Spring Boot开发Spring Security

FilterChainProxy 是一个代理，真正起作用的是 FilterChainProxy 中 SecurityFilterChain 所包含的各个 Filter ，同时

这些 Filter 作为 Bean 被 Spring 管理，它们是 Spring Security 核心，各有各的职责，但他们并不直接处理用户的 认

证 ，也不直接处理用户的 授权 ，而是把它们交给了认证管理器（ AuthenticationManager ）和决策管理器

（ AccessDecisionManager ）进行处理，下图是 FilterChainProxy 相关类的 UML 图示。

spring Security 功能的实现主要是由一系列过滤器链相互配合完成。

下面介绍过滤器链中主要的几个过滤器及其作用：

SecurityContextPersistenceFilter 这个 Filter 是整个拦截过程的入口和出口（也就是第一个和最后一个拦截

器），会在请求开始时从配置好的 SecurityContextRepository 中获取 SecurityContext ，然后把它设置给

SecurityContextHolder 。在请求完成后将 SecurityContextHolder 持有的 SecurityContext 再保存到配置好

的 SecurityContextRepository ，同时清除 securityContextHolder 所持有的 SecurityContext ；

UsernamePasswordAuthenticationFilter 用于处理来自表单提交的认证。该表单必须提供对应的用户名和密

码，其内部还有登录成功或失败后进行处理的 AuthenticationSuccessHandler 和

AuthenticationFailureHandler ，这些都可以根据需求做相关改变；

FilterSecurityInterceptor 是用于保护 web 资源的，使用 AccessDecisionManager 对当前用户进行授权访问，前

面已经详细介绍过了；

ExceptionTranslationFilter 能够捕获来自 FilterChain 所有的异常，并进行处理。但是它只会处理两类异常：

AuthenticationException 和 AccessDeniedException ，其它的异常它会继续抛出。

1. 用户提交用户名、密码被 SecurityFilterChain 中的 UsernamePasswordAuthenticationFilter 过滤器获取到，

封装为请求 Authentication ，通常情况下是 UsernamePasswordAuthenticationToken 这个实现类。

2. 然后过滤器将 Authentication 提交至认证管理器（ AuthenticationManager ）进行认证

3. 认证成功后， AuthenticationManager 身份管理器返回一个被填充满了信息的（包括上面提到的权限信息，

身份信息，细节信息，但密码通常会被移除） Authentication 实例。

4. SecurityContextHolder 安全上下文容器将第 3 步填充了信息的 Authentication ，通过

SecurityContextHolder.getContext().setAuthentication(…) 方法，设置到其中。

可以看出 AuthenticationManager 接口（认证管理器）是认证相关的核心接口，也是发起认证的出发点，它

的实现类为 ProviderManager 。而 Spring Security 支持多种认证方式，因此 ProviderManager 维护着一个

List<AuthenticationProvider> 列表，存放多种认证方式，最终实际的认证工作是由

AuthenticationProvider 完成的。咱们知道 web 表单的对应的 AuthenticationProvider 实现类为

DaoAuthenticationProvider ，它的内部又维护着一个 UserDetailsService 负责 UserDetails 的获取。最终

AuthenticationProvider 将 UserDetails 填充至 Authentication 。

通过前面的 Spring Security 认证流程 我们得知，认证管理器（ AuthenticationManager ）委托

AuthenticationProvider 完成认证工作。

AuthenticationProvider 是一个接口，定义如下：

public interface AuthenticationProvider {
    Authentication authenticate(Authentication authentication) throws AuthenticationException;
    boolean supports(Class<?> var1);
}

authenticate () 方法定义了 认证的实现过程 ，它的参数是一个 Authentication ，里面包含了登录用户所提交的用

户、密码等。而返回值也是一个 Authentication ，这个 Authentication 则是在认证成功后，将用户的权限及其他信

息重新组装后生成。

Spring Security 中维护着一个 List<AuthenticationProvider> 列表，存放多种认证方式，不同的认证方式使用不

同的 AuthenticationProvider 。如使用用户名密码登录时，使用 AuthenticationProvider1 ，短信登录时使用

AuthenticationProvider2 等等这样的例子很多。

每个 AuthenticationProvider 需要实现 supports （） 方法来表明自己支持的认证方式，如我们使用表单方式认证，

在提交请求时 Spring Security 会生成 UsernamePasswordAuthenticationToken ，它是一个 Authentication ，里面

封装着用户提交的用户名、密码信息。而对应的，哪个 AuthenticationProvider 来处理它？

public boolean supports(Class<?> authentication) {
    return UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication);
}

也就是说当 web 表单提交用户名密码时， Spring Security 由 DaoAuthenticationProvider 处理。

最后，我们来看一下 Authentication ( 认证信息 ) 的结构，它是一个接口，我们之前提到的

UsernamePasswordAuthenticationToken 就是它的实现之一：

public interface Authentication extends Principal, Serializable {
    Collection<? extends GrantedAuthority> getAuthorities();
    Object getCredentials();
    Object getDetails();
    Object getPrincipal();
    boolean isAuthenticated();
    void setAuthenticated(boolean var1) throws IllegalArgumentException;
}

UserDetailsService

现在咱们现在知道 DaoAuthenticationProvider 处理了 web 表单的认证逻辑，认证成功后既得到一个

Authentication(UsernamePasswordAuthenticationToken 实现 ) ，里面包含了身份信息（ Principal ）。这个身份 信息就是一个 Object ，大多数情况下它可以被强转为 UserDetails 对象。

DaoAuthenticationProvider 中包含了一个 UserDetailsService 实例，它负责根据用户名提取用户信息

UserDetails( 包含密码 ) ，而后 DaoAuthenticationProvider 会去对比 UserDetailsService 提取的用户密码与用户提交

的密码是否匹配作为认证成功的关键依据，因此可以通过将自定义的 UserDetailsService 公开为 spring bean 来定 义自定义身份验证。

很多人把 DaoAuthenticationProvider 和 UserDetailsService 的职责搞混淆，其实 UserDetailsService 只负责从特定 的地方（通常是数据库）加载用户信息，仅此而已。而DaoAuthenticationProvider 的职责更大，它完成完整的认 证流程，同时会把UserDetails 填充至 Authentication 。

上面一直提到 UserDetails 是用户信息，咱们看一下它的真面目：

public interface UserDetails extends Serializable {
    Collection<? extends GrantedAuthority> getAuthorities();
    String getPassword();
    String getUsername();
    boolean isAccountNonExpired();
    boolean isAccountNonLocked();
    boolean isCredentialsNonExpired();
    boolean isEnabled();
}

PasswordEncoder

public interface PasswordEncoder {
    String encode(CharSequence var1);
    boolean matches(CharSequence var1, String var2);
    default boolean upgradeEncoding(String encodedPassword) {
    return false;
    }
}

@Bean
public PasswordEncoder passwordEncoder() {
    return NoOpPasswordEncoder.getInstance();
}

授权流程

（不过后面我们都会从数据库中拿）

授权决策

自定义认证

自定义登录页面

@Configuration//就相当于springmvc.xml文件
public class WebConfig implements WebMvcConfigurer {


    @Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/").setViewName("redirect:/login-view");
        registry.addViewController("/login-view").setViewName("login");

    }

}

//配置安全拦截机制
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/r/**").authenticated()
.anyRequest().permitAll()
.and()
.formLogin() (1)
.loginPage("/login‐view") (2)
.loginProcessingUrl("/login") (3)
.successForwardUrl("/login‐success") (4)
.permitAll();
}

问题解决

spring security 为防止 CSRF （ Cross-site request forgery 跨站请求伪造）的发生，限制了除了 get 以外的大多数方法。

解决方法 1 ：

屏蔽 CSRF 控制，即 spring security 不再限制 CSRF 。

配置 WebSecurityConfig

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable() //屏蔽CSRF控制，即spring security不再限制CSRF
    ...
}

连接数据库认证

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

UserDetails 中的密码存储 BCrypt 格式

前边实现了从数据库查询用户信息，所以数据库中的密码应该存储 BCrypt 格式

编写 LoginController ，实现 /r/r1 、 /r/r2 的测试资源，并修改 loginSuccess 方法，注意 getUsername 方法， Spring

Security 获取当前登录用户信息的方法为 SecurityContextHolder.getContext().getAuthentication()

@RestController
public class LoginController {

    @RequestMapping(value = "/login-success",produces = {"text/plain;charset=UTF-8"})
    public String loginSuccess(){
        //提示具体用户名称登录成功
        return getUsername()+" 登录成功";
    }

    /**
     * 测试资源1
     * @return
     */
    @GetMapping(value = "/r/r1",produces = {"text/plain;charset=UTF-8"})
    public String r1(){
        return getUsername()+" 访问资源1";
    }

    /**
     * 测试资源2
     * @return
     */
    @GetMapping(value = "/r/r2",produces = {"text/plain;charset=UTF-8"})
    public String r2(){
        return getUsername()+" 访问资源2";
    }

    //获取当前用户信息
    private String getUsername(){
        String username = null;
        //当前认证通过的用户身份
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        //用户身份
        Object principal = authentication.getPrincipal();
        if(principal == null){
            username = "匿名";
        }
        if(principal instanceof org.springframework.security.core.userdetails.UserDetails){
            UserDetails userDetails = (UserDetails) principal;
            username = userDetails.getUsername();
        }else{
            username = principal.toString();
        }
        return username;
    }
}

会话控制

通过以下配置方式对该选项进行配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.sessionManagement()
    .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
}

默认情况下， Spring Security 会为每个登录成功的用户会新建一个 Session ，就是 ifRequired 。

若选用 never ，则指示 Spring Security 对登录成功的用户不创建 Session 了，但若你的应用程序在某地方新建了

session ，那么 Spring Security 会用它的。

若使用 stateless ，则说明 Spring Security 对登录成功的用户不会创建 Session 了，你的应用程序也不会允许新建

session 。并且它会暗示不使用 cookie ，所以每个请求都需要重新进行身份验证。这种无状态架构适用于 REST API

及其无状态认证机制。

spring boot 配置文件

session 超时之后，可以通过 Spring Security 设置跳转的路径

http.sessionManagement()
    .expiredUrl("/login‐view?error=EXPIRED_SESSION")
    .invalidSessionUrl("/login‐view?error=INVALID_SESSION");

Spring security 默认实现了 logout 退出，访问 /logout ，果然不出所料，退出功能 Spring 也替我们做好了。

但是，类似于配置登录功能，咱们可以进一步自定义退出功能：

@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
//...
.and()
.logout() (1)
.logoutUrl("/logout") (2)
.logoutSuccessUrl("/login‐view?logout") (3)
.logoutSuccessHandler(logoutSuccessHandler) (4)
.addLogoutHandler(logoutHandler) (5)
.invalidateHttpSession(true); (6)
}

logoutHandler ：

一般来说， LogoutHandler 的实现类被用来执行必要的清理，因而他们不应该抛出异常。

下面是 Spring Security 提供的一些实现：

PersistentTokenBasedRememberMeServices 基于持久化 token 的 RememberMe 功能的相关清理

TokenBasedRememberMeService 基于 token 的 RememberMe 功能的相关清理

CookieClearingLogoutHandler 退出时 Cookie 的相关清理

CsrfLogoutHandler 负责在退出时移除 csrfToken

SecurityContextLogoutHandler 退出时 SecurityContext 的相关清理

链式 API 提供了调用相应的 LogoutHandler 实现的快捷方式，比如 deleteCookies() 。