SpringSecurity 初始化流程源码

SpringSecurity 初始化流程源码

本篇主要讲解 SpringSecurity初始化流程的源码部分，包括核心的 springSecurityFilterChain 是如何创建的，以及在介绍哪里可以扩展个性化的配置，SpringSecurity源码其实是蛮难得 各种Builder Configure 看得真的头疼！

 1.简单介绍

 SpringSecurity 的核心功能主要包括：

 认证 （你是谁）
 授权 （你能干什么）
 攻击防护 （防止伪造身份）

 其核心就是一组过滤器链，项目启动后将会自动配置,本篇也会涉及过滤器链是如何自动初始化的。

 SecurityContextPersistenceFilter 是最前面的一个filter
 请求到它时候会去检查 根据sessionId找到session 判断session 中是否存在 SecurityContext 在 则将 SecurityContext 存入当前的线程中去
 响应的时候，看当前线程是否有SecurityContext ，如果有 放入到session中去 这样不同的请求都能拿到相同的 用户认证信息。

 UsernamePasswordAuthenticationFilter 该过滤器是处理表单登录的，通过表单登录提交的认证都会经过它处理

 SocialAuthenticationFilter 比如这个就是社交登录使用的Filter
 详细可以看我另外一篇 SpringSocial 实现第三方QQ登录SpringSocial 实现第三方QQ登录

 绿色的过滤器都是可配置的，其他颜色的都不行！

 2.SecurityAutoConfiguration

 如果是SpringBoot项目只要你依赖了SpringSecurity相关依赖依然会有自动配置类
SecurityAutoConfiguration 生效 它会导入 WebSecurityEnableConfiguration

 @EnableWebSecurity将会是我们本篇的主要切入点

 3.@EnableWebSecurity注解介绍

 该注解 它是初始化Spring Security的入口 .

 打开@EnableWebSecurity注解

@Retention(value = java.lang.annotation.RetentionPolicy.RUNTIME)
@Target(value = { java.lang.annotation.ElementType.TYPE })
@Documented
@Import({ WebSecurityConfiguration.class,
SpringWebMvcImportSelector.class,
OAuth2ImportSelector.class })
@EnableGlobalAuthentication
@Configuration
public @interface EnableWebSecurity {

/**
* Controls debugging support for Spring Security. Default is false.
* @return if true, enables debug support with Spring Security
*/
boolean debug() default false;
}

 该注解类通过@Configuration和@Import配合使用引入了一个配置类（WebSecurityConfiguration）和两个ImportSelector（SpringWebMvcImportSelector，OAuth2ImportSelector），我们重点关注下WebSecurityConfiguration，它是Spring Security的核心

 4.springSecurityFilterChain初始化流程及源码

 打开WebSecurityConfiguration 它是一个配置类，主要看 springSecurityFilterChain()方法,它就是初始化
springSecurityFilterChain的核心方法

/**
* Creates the Spring Security Filter Chain
* @return the {@link Filter} that represents the security filter chain
* @throws Exception
*/
@Bean(name = AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME)
public Filter springSecurityFilterChain() throws Exception {
boolean hasConfigurers = webSecurityConfigurers != null
&& !webSecurityConfigurers.isEmpty();
if (!hasConfigurers) {
WebSecurityConfigurerAdapter adapter = objectObjectPostProcessor
.postProcess(new WebSecurityConfigurerAdapter() {
});
webSecurity.apply(adapter);
}
return webSecurity.build();
}

 @Bean注解name属性值AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME就是XML中定义的springSecurityFilterChain

 从源码中知道过滤器通过最后的 webSecurity.build()创建，webSecurity的类型为：WebSecurity，它在 setFilterChainProxySecurityConfigurer方法中优先被创建了：

@Autowired(required = false)
public void setFilterChainProxySecurityConfigurer(
ObjectPostProcessor