SpringSecurity的配置分析
在分析SpringSecurity前，基于多年前使用SpringSecurity和近年来使用Shiro的经验， SpringSecurity这些年在发展和SpringBoot整合之后，也逃不出以下的一些套路：
1. 提供一个AuthenticationManager，用于登录认证
2. 提供一个web的过滤器链，用于保证web请求的安全处理，这个过滤器链中会包括判断用户是否登录，处理用户的认证请求，基于URL的路径检查用户是否能够访问特定的请求等过滤器
3. 提供一个获取用户数据的接口实现
4. 提供一个方法拦截器，用于基于方法的细粒度的授权控制
以上的1、2、3项都是必要的配置，4是增强级配置可以没有
下面我们来看下 SpringSecurity 如何来完成上述1、2、3的配置
一. 上文提到过 org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter 这个类，springboot只要类路径下能找到 WebSecurityConfigurer 接口的实现类后，就不会加载相应的默认配置。 通过重写一些方法来覆盖默认的一些配置
@Configuration
@EnableWebSecurity
public class FormLoginSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests().antMatchers("/**").hasRole("USER").and().formLogin(); //拦截所有URL的访问，将不具备USER角色的用户将被导航到登录页
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.inMemoryAuthentication().withUser("user").password("password").roles("USER"); //基于内存的用户认证
}
}
从上面这个例子可以看出，我们自己实现的子类能够做这些事：
- 基于url的路径检查哪些当前的访问是不是具备需要的权限（角色），如果不具备相应的角色，则将其导航至表单认证页面
- 基于AuthenticationManagerBuilder 调用其不同方法实现不同的认证机制
这样基本能解决授权和认证，但实际使用时我们不会用例子中的内存数据去完成用户认证，而是通过访问后台的数据库等方式去完成认证，所以还需要配置合适的认证管理器AuthenticationManager和合适的获取用户数据的接口UserDetailsService的实现，下面是AuthenticationManager接口和UserDetailsService的源码：
public interface AuthenticationManager { Authentication authenticate(Authentication authentication) throws AuthenticationException; }
public interface UserDetailsService {
UserDetails loadUserByUsername(String username) throws UsernameNotFoundException; // 用于通过用户名获取用户信息
}
二 . 我们发现除了上文提到的SecurityAutoConfiguration自动配置类外，Springboot 还在 spring.factorys 提供UserDetailsServiceAutoConfiguration类，这个配置类中配置了
UserDetailsService接口的bean实现UserDetailsService, 这是一个基于内存用户数据的实现，当然这是一个默认配置，所以我们只要提供了UserDetailsService接口的bean配置，就将覆盖默认的获取用户的方式
@Configuration @ConditionalOnClass(AuthenticationManager.class) @ConditionalOnBean(ObjectPostProcessor.class) @ConditionalOnMissingBean({ AuthenticationManager.class, AuthenticationProvider.class, UserDetailsService.class }) public class UserDetailsServiceAutoConfiguration { private static final String NOOP_PASSWORD_PREFIX = "{noop}"; private static final Pattern PASSWORD_ALGORITHM_PATTERN = Pattern .compile("^\\{.+}.*$"); private static final Log logger = LogFactory .getLog(UserDetailsServiceAutoConfiguration.class); @Bean @ConditionalOnMissingBean(type = "org.springframework.security.oauth2.client.registration.ClientRegistrationRepository") @Lazy public InMemoryUserDetailsManager inMemoryUserDetailsManager( SecurityProperties properties, ObjectProvider<PasswordEncoder> passwordEncoder) { SecurityProperties.User user = properties.getUser(); List<String> roles = user.getRoles(); return new InMemoryUserDetailsManager(User.withUsername(user.getName()) .password(getOrDeducePassword(user, passwordEncoder.getIfAvailable())) .roles(StringUtils.toStringArray(roles)).build()); } private String getOrDeducePassword(SecurityProperties.User user, PasswordEncoder encoder) { String password = user.getPassword(); if (user.isPasswordGenerated()) { logger.info(String.format("%n%nUsing generated security password: %s%n", user.getPassword())); } if (encoder != null || PASSWORD_ALGORITHM_PATTERN.matcher(password).matches()) { return password; } return NOOP_PASSWORD_PREFIX + password; } }
三. 通过上述的分析，认证的用户数据来源和基于对url资源的访问授权检查的配置都有了，就欠缺一个过滤器链了，可以得出这个过滤器链也是有默认配置的，在上文中介绍过
SecurityAutoConfiguration这个配置类会导入三个配置类 SpringBootWebSecurityConfiguration.class , WebSecurityEnablerConfiguration.class, SecurityDataConfiguration. 上文分析了SpringBootWebSecurityConfiguration，现在分析下 WebSecurityEnablerConfiguration ，还是看源码：
@Configuration @ConditionalOnBean(WebSecurityConfigurerAdapter.class) @ConditionalOnMissingBean(name = BeanIds.SPRING_SECURITY_FILTER_CHAIN) @ConditionalOnWebApplication(type = ConditionalOnWebApplication.Type.SERVLET) @EnableWebSecurity public class WebSecurityEnablerConfiguration { }
通过源码发现引入了 @EnableWebSecurity ，再看EnableWebSecurity源码：
@Retention(value = java.lang.annotation.RetentionPolicy.RUNTIME) @Target(value = { java.lang.annotation.ElementType.TYPE }) @Documented @Import({ WebSecurityConfiguration.class, SpringWebMvcImportSelector.class, OAuth2ImportSelector.class }) @EnableGlobalAuthentication @Configuration public @interface EnableWebSecurity { /** * Controls debugging support for Spring Security. Default is false. * @return if true, enables debug support with Spring Security */ boolean debug() default false; }
又发现导入了 WebSecurityConfiguration.class ，在这个类中有如下配置：
/** * Creates the Spring Security Filter Chain * @return the {@link Filter} that represents the security filter chain * @throws Exception */ @Bean(name = AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME) public Filter springSecurityFilterChain() throws Exception { boolean hasConfigurers = webSecurityConfigurers != null && !webSecurityConfigurers.isEmpty(); if (!hasConfigurers) { WebSecurityConfigurerAdapter adapter = objectObjectPostProcessor .postProcess(new WebSecurityConfigurerAdapter() { }); webSecurity.apply(adapter); } return webSecurity.build(); }
这也就是springSecurity 默认帮我们配置的过滤器链的bean ，先通过写一个单元测试，看看这个默认帮我们配置的过滤器链的bean 里面都包含了哪些过滤器：
@RunWith(SpringRunner.class) @SpringBootTest(classes=App.class) public class FilterChainProxyTest { @Autowired FilterChainProxy chain ; @Test public void test() { SecurityFilterChain filterChain = chain.getFilterChains().get(0) ; List<Filter> filters = filterChain.getFilters() ; for(Filter filter:filters) { System.out.println( filter.getClass().getSimpleName() ); } } }
执行后输出：
WebAsyncManagerIntegrationFilter
SecurityContextPersistenceFilter
HeaderWriterFilter
CsrfFilter
LogoutFilter
UsernamePasswordAuthenticationFilter
DefaultLoginPageGeneratingFilter
DefaultLogoutPageGeneratingFilter
BasicAuthenticationFilter
RequestCacheAwareFilter
SecurityContextHolderAwareRequestFilter
AnonymousAuthenticationFilter
SessionManagementFilter
ExceptionTranslationFilter
FilterSecurityInterceptor
默认竟然在链中配置了15个过滤器，已经考虑得很周全了， 所以这个bean一般情况下我们不需要去自定义配置，我们可以通过对WebSecurityConfigurerAdapter 中一些方法的重写来改变这个过滤器链中的内容，从而达到定制的目的就可以了。
