Spring Security的工作原理

迷南。 2022-11-30 12:42 128阅读 0赞

## 1 结构总览 ##

Spring Security所解决的问题就是**安全访问控制**，而安全访问控制功能其实就是对所有进入系统的请求进行拦截， 校验每个请求是否能够访问它所期望的资源。而Spring Security对Web资源的保护是靠Filter实现的。当初始化Spring Security时，会创建一个名为 `springSecurityFilterChain` 的Servlet过滤器，类型为`org.springframework.security.web.FilterChainProxy`，它实现了`javax.servlet.Filter`，因此外部的请求会经过此 类，下图是Spring Security过虑器链结构图：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center]  
FilterChainProxy是一个代理，真正起作用的是FilterChainProxy中SecurityFilterChain所包含的各个Filter，同时 这些Filter作为Bean被Spring管理，它们是Spring Security核心，各有各的职责，但他们并不直接处理用户的认 证，也不直接处理用户的授权，**而是把它们交给了认证管理器（AuthenticationManager）和决策管理器 （AccessDecisionManager）进行处理**。  
spring Security功能的实现主要是由一系列过滤器链相互配合完成，如下图：  
![在这里插入图片描述][20200824153055532.png_pic_center]  
下面介绍过滤器链中主要的几个过滤器及其作用：  
**SecurityContextPersistenceFilter** ：这个Filter是整个拦截过程的入口和出口（也就是第一个和最后一个拦截 器），会在请求开始时从配置好的 `SecurityContextRepository` 中获取 `SecurityContext`，然后把它设置给 `SecurityContextHolder`。在请求完成后将 `SecurityContextHolder` 持有的 `SecurityContext` 再保存到配置好的 `SecurityContextRepository`，同时清除 `securityContextHolder` 所持有的 `SecurityContext`；  
**UsernamePasswordAuthenticationFilter** ：用于处理来自表单提交的认证。该表单必须提供对应的用户名和密码，其内部还有登录成功或失败后进行处理的 `AuthenticationSuccessHandler` 和 `AuthenticationFailureHandler`，这些都可以根据需求做相关改变； **FilterSecurityInterceptor**： 是用于保护web资源的，使用`AccessDecisionManager`对当前用户进行授权访问，前 面已经详细介绍过了；  
**ExceptionTranslationFilter**： 能够捕获来自 `FilterChain` 所有的异常，并进行处理。但是它只会处理两类异常： `AuthenticationException` 和 `AccessDeniedException`，其它的异常它会继续抛出。

## 2 认证流程 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center 1]让我们仔细分析认证过程：

1.  用户提交用户名、密码被SecurityFilterChain中的 **UsernamePasswordAuthenticationFilter** 过滤器获取到， 封装为请求Authentication，通常情况下是UsernamePasswordAuthenticationToken这个实现类。
2.  然后过滤器将Authentication提交至认证管理器（**AuthenticationManager**）进行认证 。
3.  认证成功后， AuthenticationManager 身份管理器返回一个**被填充满了信息的（包括上面提到的权限信息， 身份信息，细节信息，但密码通常会被移除） Authentication 实例**。
4.  SecurityContextHolder 安全上下文容器将第3步填充了信息的 Authentication ，通过 SecurityContextHolder.getContext().setAuthentication(…)方法，设置到其中。 可以看出AuthenticationManager接口（认证管理器）是认证相关的核心接口，也是发起认证的出发点，它 的实现类为ProviderManager。而Spring Security支持多种认证方式，因此ProviderManager维护着一个 List 列表，存放多种认证方式，最终实际的认证工作是由 AuthenticationProvider完成的。咱们知道web表单的对应的AuthenticationProvider实现类为 DaoAuthenticationProvider，它的内部又维护着一个UserDetailsService负责UserDetails的获取。最终 AuthenticationProvider将UserDetails填充至Authentication。

## 3 授权策略 ##

Spring Security可以通过 http.authorizeRequests() 对web请求进行授权保护。Spring Security使用标准Filter建立了对web请求的拦截，最终实现对资源的授权访问。授权流程如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center 2]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/66dbd84cc7724fc99c4af004bf544c55.png
[20200824153055532.png_pic_center]: /images/20221123/4a804afc296a41f8a116380a34f208e4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221123/f333a1b31f174720974463e6742e9f92.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221123/c9d1bfb230b24cb8b05a98ced05fa553.png