SpringSecurity的架构总览

Spring Security的简介说明

Spring Security对认证、授权和常见漏洞保护提供了全方位支持。使用的版本为：Spring Security 5.5.2。

概念释义

认证（Authentication）：认证就是对试图访问资源的用户进行验证。认证的场景就是 登录 流程，常见的方式就是要求提供用户名和密码，当验证通过的时候，就可以执行授权操作。

授权（Authority）：授权就是对资源进行权限设置，只有用户具备相应权限才能访问。

技术原理

Spring Security 在基于Servlet应用中，其底层是采用了Filter机制实现了对请求的认证、授权和漏洞防御等功能。

简单来说，可以理解为给Servlet设置一些Filters，这些Filters就构成了一个FilterChain。

请求拦截处理

每次当请求进来时，首先会被FilterChain中的Filters 依次捕获得到，每个Filter可以对请求进行一些预处理或对响应进行一些后置处理，最后才会到达Servlet。具体流程如下图所示：

FilterChain的实例对象

FilterChain中的Filter主要有两方面作用：

修改HttpServletRequest或HttpServletResponse，这样FilterChain后续的Filters 或Servlet得到的就是被修改后的请求和响应内容。

Filter可以拦截请求，自己作出响应，相当于断开了FilterChain，导致后续的Filters和Servlet无法接收到该请求。

DelegatingFilterProxy

基于Servlet规范，我们可以为 Servlet容器 注入一些自定义Filters，但是在 Spring 应用中，实现了Filter接口的Bean无法被 Servlet容器 感知到，没有调用ServletContext#addFilter方法注册到FilterChain中。

Spring 提供了一个DelegatingFilterProxy代理类，DelegatingFilterProxy实现了Filter，因此它可以被注入到FilterChain中，同时，当请求到来时，它会把请求转发到Spring容器 中实现了Filter接口的 Bean 实体，所以DelegatingFilterProxy桥接了 Servlet容器 和 Spring容器。

DelegatingFilterProxy作用示意图大致如下所示：

当请求到来时，DelegatingFilterProxy会从ApplicationContext中获取FilterBean 实体，然后将请求转发给到它，伪代码如下所示：

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) {

    // Lazily get Filter that was registered as a Spring Bean

    // For the example in DelegatingFilterProxy delegate is an instance of Bean Filter0

    Filter delegate = getFilterBean(someBeanName);

    // delegate work to the Spring Bean

    delegate.doFilter(request, response);

}

复制代码

FilterChainProxy

Spring容器中的Filters Bean实体可以注入到Servlet容器中的FilterChain功能，基于此，Spring Security向Spring容器提供了一个FilterChainProxy Bean 实体，该FilterChainProxy实现了Filter接口，因此，请求就会被FilterChainProxy捕获到，这样 Spring Security 就可以开始工作了。

默认情况下，DelegatingFilterProxy从Spring容器中获取得到的就是FilterChainProxy实体，而FilterChainProxy也是一个代理类，它最终会将请求转发到 Spring Security 提供的SecurityFilterChain中，流程示意图如下所示：

注：FilterChainProxy就是 Spring Security 真正的入口起始点，调式代码时，将断点设置在FilterChainProxy#doFilter就可以追踪 Spring Security 完整调用流程。

SecurityFilterChain

SecurityFilterChain作用其实跟Servlet的FilterChain一样，同样维护了很多Filters，这些Filters 是由Spring Security提供的，每个 Security Filter 都有不同的职能，比如登录认证、CSRF防御...如下图所示：

同时，Spring Security 支持添加多个SecurityFilterChain，每个SecurityFilterChain负责不同的请求（比如依据请求地址进行区分），这样可以为不同的请求设置不同的认证规则。其源码如下所示：

public interface SecurityFilterChain {

    // 匹配请求

    boolean matches(HttpServletRequest request);

    // 获取该 SecurityFilterChain 中的所有 Filter

    List<Filter> getFilters();

}

复制代码

具体来说，当请求到达FilterChainProxy时，其内部会根据当前请求匹配得到对应的SecurityFilterChain，然后将请求依次转发给到该SecurityFilterChain中的所有 Security Filters。如下图所示：

Security Filters

Spring Security 最终对请求进行处理的就是某个SecurityFilterChain中的 Security Filters，这些Filter都设置为 Bean 注入到 Spring容器中，且这些Filters 的先后顺序很重要。以下是 Spring Security 内置的完整 Security Filter 顺序列表：

ChannelProcessingFilter：确保请求投递到要求渠道。最常见的使用场景就是指定哪些请求必须使用HTTPS 协议，哪些请求必须使用 HTTP 协议，哪些请求随便使用哪种协议均可。

WebAsyncManagerIntegrationFilter：集成SecurityContext到 Spring Web 异步请求机制中的WebAsyncManager。注：SecurityContext就是 安全上下文，主要职能就是用于存储用户认证的一些信息。

SecurityContextPersistenceFilter：在每次请求处理之前，从 Session（默认使用HttpSessionSecurityContextRepository）中获取SecurityContext，然后将其设置给到SecurityContextHolder；在请求结束后，就会将SecurityContextHolder中存储的SecurityContext重新保存到 Session 中，并且清除SecurityContextHolder中的SecurityContext。SecurityContextPersistenceFilter可以通过HttpSecurity#securityContext()及相关方法引入其配置对象SecurityContextConfigurer来进行配置。

HeaderWriterFilter：该过滤器可为响应添加一些响应头，比如添加X-Frame-Options，X-XSS-Protection和X-Content-Type-Options等响应头，让浏览器开启保护功能。

HeaderWriterFilter可以通过HttpSecurity#headers()来定制。

CorsFilter：处理跨域资源共享（CORS）。CorsFilter可以通过HttpSecurity#cors()来定制。

CsrfFilter：处理跨站请求伪造(CSRF)。CsrfFilter可以通过HttpSecurity#csrf()来开启或关闭。在前后端分离项目中，不需要使用 CSRF。

LogoutFilter：处理退出登录请求。LogoutFilter可以通过HttpSecurity#logout()来定制退出逻辑。

OAuth2AuthorizationRequestRedirectFilter：用于构建 OAuth 2.0 认证请求，将用户请求重定向到该认证请求接口。注：该过滤器需要添加spring-security-oauth2等相关模块。

Saml2WebSsoAuthenticationRequestFilter：基于 SAML 的 SSO 单点登录认证请求过滤器。注：Saml2WebSsoAuthenticationRequestFilter需要添加 Spring Security SAML 模块。

X509AuthenticationFilter：X509 认证过滤器。X509AuthenticationFilter可以通过SecurityContext#X509()来启用和配置相关功能。

AbstractPreAuthenticatedProcessingFilter：认证预处理请求过滤器基类，其中认证主体已经由外部系统进行了身份验证。目的只是从传入请求中提取主体上的必要信息，而不是对它们进行身份验证。可以继承该类进行具体实现并通过HttpSecurity#addFilter方法来添加个性化的AbstractPreAuthenticatedProcessingFilter。

CasAuthenticationFilter：用于处理 CAS 单点登录认证。注： CasAuthenticationFilter需要添加 Spring Security CAS 模块。

OAuth2LoginAuthenticationFilter：OAuth2.0 登录认证过滤器。注： OAuth2LoginAuthenticationFilter需要添加spring-security-oauth2等相关模块。

Saml2WebSsoAuthenticationFilter：基于 SAML 的 SSO 单点登录认证过滤器。注：Saml2WebSsoAuthenticationFilter需要添加 Spring Security SAML 模块。

UsernamePasswordAuthenticationFilter：用于处理表单登录认证。默认处理接口为/login，表单必须提供两个参数：用户名 和 密码，默认的参数名(key)为username和password，可以通过usernameParameter和passwordParameter方法进行修改。

UsernamePasswordAuthenticationFilter可以通过HttpSecurity#formLogin()及相关方法引入其配置对象FormLoginConfigurer来进行配置。

OpenIDAuthenticationFilter：基于 OpenID 认证协议的认证过滤器。

DefaultLoginPageGeneratingFilter：如果没有配置登录页面，那么就会默认采用该过滤器生成一个登录表单页面。注：默认的登录页面接口为/login

DefaultLogoutPageGeneratingFilter：生成默认退出登录页面。注：默认的退出登录页面接口为/logout

ConcurrentSessionFilter：主要用来判断 Session 是否过期以及更新最新访问时间。该过滤器可能会被多次执行。

DigestAuthenticationFilter：用于处理 HTTP 头部显示的摘要式身份验证凭据。

DigestAuthenticationFilter可以通过HttpSecurity#addFilter()来启用和配置相关功能。

BearerTokenAuthenticationFilter：处理 Token 认证。

BasicAuthenticationFilter：用于检测和处理 Http Baisc 认证。BasicAuthenticationFilter可以通过HttpSecurity#httpBasic()及相关方法引入其配置对象HttpBaiscConfigurer来进行配置。

RequestCacheAwareFilter：用于用户认证成功后，重新恢复因为登录被打断的请求。当匿名访问一个需要授权的资源时。会跳转到认证处理逻辑，此时请求被缓存。在认证逻辑处理完毕后，从缓存中获取最开始的资源请求进行再次请求。RequestCacheAwareFilter可以通过HttpSecurity#requestCache()及相关方法引入其配置对象RequestCacheConfigurer来进行配置。

SecurityContextHolderAwareRequestFilter：对请求对象进行包装，增加了一些安全相关方法。SecurityContextHolderAwareRequestFilter可以通过HttpSecurity#servletApi()及相关方法引入其配置对象ServletApiConfigurer来进行配置。

JaasApiIntegrationFilter：适用于 JAAS （Java 认证授权服务）。如果SecurityContextHolder中拥有的Authentication是一个JaasAuthenticationToken，那么该JaasApiIntegrationFilter将使用包含在JaasAuthenticationToken中的Subject继续执行FilterChain。

RememberMeAuthenticationFilter：当用户没有登录而直接访问资源时，从 cookie 里找出用户的信息，如果 Spring Security 能够识别出用户提供的 remember me cookie，用户将不必填写用户名和密码，而是直接登录进入系统。它先分析 SecurityContext 里有没有Authentication对象，如果有，则不做任何操作，直接跳到下一个过滤器；如果没有，则检查请求里有没有包含 remember-me 的 cookie 信息。如果有，则解析出 cookie 里的验证信息，判断是否有权限。RememberMeAuthenticationFilter可以通过HttpSecurity#rememberMe()及相关方法引入其配置对象RememberMeConfigurer来进行配置。

AnonymousAuthenticationFilter：匿名认证过滤器，检测SecurityContextHolder中是否存在Authentication对象，如果不存在，就生成一个匿名Authentication对象。AnonymousAuthenticationFilter可以通过HttpSecurity#anonymous()及相关方法引入其配置对象AnonymousConfigurer来进行配置。

OAuth2AuthorizationCodeGrantFilter：OAuth 2.0 授权码模式，用于处理 OAuth 2.0 授权码响应。

SessionManagementFilter：检测用户是否通过认证，如果已认证，就通过SessionAuthenticationStrategy进行 Session 相关管理操作。SessionManagementFilter可以通过HttpSecurity#sessionManagement()及相关方法引入其配置对象SessionManagementConfigurer来进行配置。

ExceptionTranslationFilter：可以用于捕获FilterChain上所有的异常，但只处理AccessDeniedException和AuthenticationException异常。

FilterSecurityInterceptor：对 web资源 进行一些安全保护操作。

SwitchUserFilter：主要用来作用户切换。

自动配置

依据 Spring Boot 自动配置原理，其会自动加载spring-boot-autoconfigure.jar中/META-INF/spring.factories内键值org.springframework.boot.autoconfigure.EnableAutoConfiguration指定的自动配置类。查看该文件，可以看到，与 Spring Security 相关的自动配置类有如下几个：

org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration,                                      \

org.springframework.boot.autoconfigure.security.servlet.UserDetailsServiceAutoConfiguration,                            \

org.springframework.boot.autoconfigure.security.servlet.SecurityFilterAutoConfiguration,                                \

org.springframework.boot.autoconfigure.security.reactive.ReactiveSecurityAutoConfiguration,                            \

org.springframework.boot.autoconfigure.security.reactive.ReactiveUserDetailsServiceAutoConfiguration,                  \

org.springframework.boot.autoconfigure.security.rsocket.RSocketSecurityAutoConfiguration,                              \

org.springframework.boot.autoconfigure.security.saml2.Saml2RelyingPartyAutoConfiguration,                              \

org.springframework.boot.autoconfigure.security.oauth2.client.servlet.OAuth2ClientAutoConfiguration,                    \

org.springframework.boot.autoconfigure.security.oauth2.client.reactive.ReactiveOAuth2ClientAutoConfiguration,          \

org.springframework.boot.autoconfigure.security.oauth2.resource.servlet.OAuth2ResourceServerAutoConfiguration,          \

org.springframework.boot.autoconfigure.security.oauth2.resource.reactive.ReactiveOAuth2ResourceServerAutoConfiguration, \

复制代码

每个配置类都为 Spring Security 注入不同的 Bean 到 Spring容器中。这里我们着重介绍一下SecurityFilterAutoConfiguration和SecurityAutoConfiguration配置类，因为这两个配置类会自动装配DelegatingFilterProxy和FilterChain到 Spring容器 中。

自动装配FilterChainProxy

下面介绍下配置类SecurityAutoConfiguration，具体如下：

@Configuration(proxyBeanMethods = false)

@ConditionalOnClass(DefaultAuthenticationEventPublisher.class)

@EnableConfigurationProperties(SecurityProperties.class)

@Import({ SpringBootWebSecurityConfiguration.class, WebSecurityEnablerConfiguration.class,

        SecurityDataConfiguration.class })

public class SecurityAutoConfiguration {

    @Bean

    @ConditionalOnMissingBean(AuthenticationEventPublisher.class)

    public DefaultAuthenticationEventPublisher authenticationEventPublisher(ApplicationEventPublisher publisher) {

        return new DefaultAuthenticationEventPublisher(publisher);

    }

}

复制代码

SecurityAutoConfiguration导入了3个配置类，注重看WebSecurityEnablerConfiguration。 查看WebSecurityEnablerConfiguration配置类，其源码如下：

@Configuration(proxyBeanMethods = false)

@ConditionalOnMissingBean(name = "springSecurityFilterChain")

@ConditionalOnClass(EnableWebSecurity.class)

@ConditionalOnWebApplication(type = ConditionalOnWebApplication.Type.SERVLET)

@EnableWebSecurity

class WebSecurityEnablerConfiguration {

}

复制代码

当 Spring容器 中没有名称为springSecurityFilterChain的 Bean 等条件时，就会加载该配置类，此时@EnableWebSecurity注解生效：

@Retention(RetentionPolicy.RUNTIME)

@Target(ElementType.TYPE)

@Documented

@Import({ WebSecurityConfiguration.class, SpringWebMvcImportSelector.class, OAuth2ImportSelector.class,

        HttpSecurityConfiguration.class })

@EnableGlobalAuthentication

@Configuration

public @interface EnableWebSecurity {

    boolean debug() default false;

}

复制代码

注解@EnableWebSecurity又导入了4个配置类，这里着重看下WebSecurityConfiguration：

@Configuration(proxyBeanMethods = false)

public class WebSecurityConfiguration implements ImportAware, BeanClassLoaderAware {

    ...

    /**

    * Creates the Spring Security Filter Chain

    * @return the {@link Filter} that represents the security filter chain

    * @throws Exception

    */

    @Bean(name = "springSecurityFilterChain")

    public Filter springSecurityFilterChain() throws Exception {

        ...

        return this.webSecurity.build();

    }

    ...

}

复制代码

可以看到，WebSecurityConfiguration#springSecurityFilterChain()最终生成了一个名称为springSecurityFilterChain的 Bean 实体，该 Bean 的实际类型其实为FilterChainProxy，是由WebSecurity#build()方法创建的。

综上，SecurityAutoConfiguration配置类生成了很多 Bean 实体，其中最重要的一个是名称为springSecurityFilterChain的FilterChainProxy对象。

自动装配DelegatingFilterProxy

下面介绍下配置类SecurityFilterAutoConfiguration，其源码如下所示：

@Configuration(proxyBeanMethods = false)

@ConditionalOnWebApplication(type = Type.SERVLET)

@EnableConfigurationProperties(SecurityProperties.class)

@ConditionalOnClass({ AbstractSecurityWebApplicationInitializer.class, SessionCreationPolicy.class })

@AutoConfigureAfter(SecurityAutoConfiguration.class) // 须先加载 SecurityAutoConfiguration

public class SecurityFilterAutoConfiguration {

    ...

    @Bean

    @ConditionalOnBean(name = “springSecurityFilterChain”)

    public DelegatingFilterProxyRegistrationBean securityFilterChainRegistration(

            SecurityProperties securityProperties) {

            ...

    }

    ...

}

复制代码

可以看到，要加载SecurityFilterAutoConfiguration前，必须先加载配置类SecurityAutoConfiguration，该配置类前面已经详细介绍了，主要功能就是注入了一个名称为springSecurityFilterChain的 Bean，因此，此时SecurityFilterAutoConfiguration#securityFilterChainRegistration就会生效，最终生成一个DelegatingFilterProxyRegistrationBean实体。DelegatingFilterProxyRegistrationBean实现了ServletContextInitializer接口，当系统执行ServletWebServerApplicationContext.selfInitialize()进行初始化时，会依次调用到：RegistrationBean.onStartup() --> DynamicRegistrationBean.register() --> AbstractFilterRegistrationBean.addRegistration()，其中，AbstractFilterRegistrationBean#addRegistration()源码如下：

protected Dynamic addRegistration(String description, ServletContext servletContext) {

    Filter filter = this.getFilter();

    return servletContext.addFilter(this.getOrDeduceName(filter), filter);

}

复制代码

this.getFilter()实际调用的是DelegatingFilterProxyRegistrationBean#getFilter()方法，其内部会创建一个DelegatingFilterProxy实例并返回，源码如下：

public DelegatingFilterProxy getFilter() {

    return new DelegatingFilterProxy(this.targetBeanName, this.getWebApplicationContext()) {

        protected void initFilterBean() throws ServletException {

        }

    };

}

复制代码

因此，AbstractFilterRegistrationBean#addRegistration()最终就是通过ServletContext#addFilter将一个DelegatingFilterProxy实例注入到 Servlet 的FilterChain中。

以上，就是 Spring Boot 中自动装配 Spring Security 相关配置源码分析，更加详细内容，可参考：

总结

Spring Security 作用机制大致如下：

注册标准Filter：首先，Spring 会自动注入一个DelegatingFilterProxy到 Servlet 的FilterChain中。

请求转发到 Spring Security：当请求到来时，DelegatingFilterProxy就会自动在 Spring容器 中搜索名称为springSecurityFilterChain的Filter实体，其实际类型为FilterChainProxy。DelegatingFilterProxy最终会将请求转发给到FilterChainProxy。

找到匹配请求处理的SecurityFilterChain：FilterChainProxy内部维护了一系列SecurityFilterChains，他会依据请求内容找到对应处理该请求的SecurityFilterChain。

请求处理：找到能处理请求的第一个SecurityFilterChain后，就会遍历该SecurityFilterChain内部维护的一系列Filters，依次让这些 Security Filter 处理该请求，完成认证、授权等功能。

Spring Security 架构简单示意图