13518219792
网站建设资讯

NEWS

网站建设资讯

什么是SpringSecurity过滤器

这篇文章主要介绍“什么是SpringSecurity过滤器”，在日常操作中，相信很多人在什么是SpringSecurity过滤器问题上存在疑惑，小编查阅了各式资料，整理出简单好用的操作方法，希望对大家解答”什么是SpringSecurity过滤器”的疑惑有所帮助！接下来，请跟着小编一起来学习吧！

10余年的丰都网站建设经验，针对设计、前端、开发、售后、文案、推广等六对一服务，响应快，48小时及时工作处理。成都全网营销的优势是能够根据用户设备显示端的尺寸不同，自动调整丰都建站的显示方式，使网站能够适用不同显示终端，在浏览器中调整网站的宽度，无论在任何一种浏览器上浏览网站，都能展现优雅布局与设计，从而大程度地提升浏览体验。创新互联从事“丰都网站设计”,“丰都网站推广”以来，每个客户项目都认真落实执行。

前置知识

我们知道Spring Security是通过Filter的方式来完成它的核心流程。但是：

  1. Spring Security到底拥有哪些Filter？

  2. 这些Filter是如何注入容器？

  3. 我们如何自定义自己的Filter？

web.xml配置

前面我们已经介绍过了，最开始如果我们要配置Filter，一般是通过web.xml的方式：

  
   deleFilter  
   org.springframework.web.filter.DelegatingFilterProxy  
     
      targetBeanName  
      spring-bean-name  
     
          
  
   deleFilter  
   /*  

SpringBoot中添加Filter

在SpringBoot中可以通过@WebFilter和@ServletComponentScan注解，注入自定义的Filter。

@WebFilter(filterName = "myFilter",urlPatterns = "/*")
public class MyFilter implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) {
    }

    @Override
    public void destroy() {
    }
}

@SpringBootApplication
@ServletComponentScan(basePackages = "vip.mycollege.filter")
public class StartApplication {

    public static void main(String[] args) {
        SpringApplication.run(StartApplication.class, args);
    }
}

也可以通过FilterRegistrationBean的方式，注入自定义的Filter。

@Configuration
public class FilterConfig {
    @Bean
    public FilterRegistrationBean filterRegistrationBean(){
        FilterRegistrationBean bean = new FilterRegistrationBean();
        bean.setFilter(new MyFilter());
        bean.addUrlPatterns("/*");
        return bean;
    }
}

也可以通过DelegatingFilterProxyRegistrationBean的方式。

@Configuration
public class FilterConfig {
    @Bean("proxyFilter")
    public Filter filter (){
        return new Filter() {
            @Override
            public void init(javax.servlet.FilterConfig filterConfig) throws ServletException {
            }

            @Override
            public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) {
            }

            @Override
            public void destroy() {
            }
        
    @Bean
    public DelegatingFilterProxyRegistrationBean delegatingFilterProxyRegistrationBean(){
        DelegatingFilterProxyRegistrationBean bean = new DelegatingFilterProxyRegistrationBean("proxyFilter");
        bean.addUrlPatterns("/*");
        return bean;
    }
}

DelegatingFilterProxyRegistrationBean和FilterRegistrationBean都继承了AbstractFilterRegistrationBean，从名字上看就知道是一个RegistrationBean，也就是说会在Servlet容器启动的时候被注入。

DelegatingFilterProxyRegistrationBean会在Servlet容器中注册一个DelegatingFilterProxy，用来代理Spring IoC容器中某个指定名称的Filter bean。

FilterChainProxy

SpringBoot有一个SecurityFilterAutoConfiguration的自动配置类，就会配置一个name为springSecurityFilterChain的DelegatingFilterProxyRegistrationBean，这个类的url-pattern默认为/*，也就是说会过滤所有的请求。

name是springSecurityFilterChain是一个什么鬼呢？

答案是：FilterChainProxy。

这个类是在HttpSecurityBeanDefinitionParser的registerFilterChainProxyIfNecessary方法中注册。

HttpSecurityBeanDefinitionParser也是一个BeanDefinitionParser，因此它会通过parse方法来构建Filter类。

整个流程现在就清晰了：

  1. SpringBoot通过自动配置类搞了个DelegatingFilterProxyRegistrationBean

  2. DelegatingFilterProxyRegistrationBean会在Servlet启动的时候注册一个DelegatingFilterProxy

  3. DelegatingFilterProxy会默认会拦截所有的请求，然后交个一个别名为springSecurityFilterChain的FilterChainProxy

  4. FilterChainProxy在持有一个SecurityFilterChain的list

  5. SecurityFilterChain本身又持有一个Filter列表，可以通过match找出url匹配的Request交个filters处理

FilterChainProxy除了持有过滤器，默认内置了一个StrictHttpFirewall一个HTTP防火墙，它采用了严格模式，遇到任何可疑的请求，会通过抛出异常RequestRejectedException拒绝该请求。

现在我们知道了Spring Security如何收集利用Filter了。

但是，Spring Security到底背着我们弄了哪些Filter呢？

我只想说很多，要知道有哪些也很简单，在FilterChainProxy打一个断点，debug，看一下filterChains变量中的filters列表就能看到有哪些filter

默认情况下filterChains只有一个filte，就是DefaultSecurityFilterChain，看名字就知道这是一个SecurityFilterChain，他包含了一个Filter列表，默认有：

  1. WebAsyncManagerIntegrationFilter：与处理异步请求映射的 WebAsyncManager 进行集成

  2. SecurityContextPersistenceFilter： 请求前保存和请求后清除SecurityContextHolder中的安全上下文

  3. HeaderWriterFilter：将头信息加入响应中

  4. CsrfFilter：处理跨站请求伪造

  5. LogoutFilter：处理登出

  6. UsernamePasswordAuthenticationFilter：处理基于表单的登录

  7. DefaultLoginPageGeneratingFilter：如果没有配置登录页，生成默认登录页

  8. DefaultLogoutPageGeneratingFilter：如果没有登出页，生成默认登出页

  9. BasicAuthenticationFilter：处理HTTP BASIC认证

  10. RequestCacheAwareFilter：处理请求的缓存

  11. SecurityContextHolderAwareRequestFilter：包装请求对象request

  12. AnonymousAuthenticationFilter：检测SecurityContextHolder是否存在Authentication，如不存在提供一个匿名 Authentication

  13. SessionManagementFilter：管理 session 的过滤器

  14. ExceptionTranslationFilter：处理 AccessDeniedException 和 AuthenticationException 异常

  15. FilterSecurityInterceptor： 权限校验相关

重要Filter

UsernamePasswordAuthenticationFilter

UsernamePasswordAuthenticationFilter本身没啥好说的，它就是一个Filter，但是因为它用得多，所以说一下。

Filter肯定先看doFilter方法，UsernamePasswordAuthenticationFilter的主要认证逻辑在attemptAuthentication：

@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)
        throws AuthenticationException {
    if (this.postOnly && !request.getMethod().equals("POST")) {
        throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());
    }
    String username = obtainUsername(request);
    username = (username != null) ? username : "";
    username = username.trim();
    String password = obtainPassword(request);
    password = (password != null) ? password : "";
    UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(username, password);
    setDetails(request, authRequest);
    return this.getAuthenticationManager().authenticate(authRequest);
}

很简单，就是从request中获取username和password的字段，封装成UsernamePasswordAuthenticationToken，然后扔给AuthenticationManager去执行认证，当然，最终认证逻辑肯定是像DaoAuthenticationProvider 这样的AuthenticationProvider执行。

FilterSecurityInterceptor

FilterSecurityInterceptor主要是用来做权限校验的，具体的鉴权逻辑主要在AbstractSecurityInterceptor中。

FilterSecurityInterceptor也是一个Filter，所以，还是先看doFilter方法，调用了invoke：

public void invoke(FilterInvocation filterInvocation) throws IOException, ServletException {
        //一次请求中避免重复检查
		if (isApplied(filterInvocation) && this.observeOncePerRequest) {
			filterInvocation.getChain().doFilter(filterInvocation.getRequest(), filterInvocation.getResponse());
			return;
		}
		// 第一次调用，先设置标记，避免重复调用
		if (filterInvocation.getRequest() != null && this.observeOncePerRequest) {
			filterInvocation.getRequest().setAttribute(FILTER_APPLIED, Boolean.TRUE);
		}
        // 业务逻辑调用之前，执行检查鉴权操作主要就是在这里面完成
		InterceptorStatusToken token = super.beforeInvocation(filterInvocation);
		try {
            // 执行具体的业务逻辑
			filterInvocation.getChain().doFilter(filterInvocation.getRequest(), filterInvocation.getResponse());
		}
		finally {
			super.finallyInvocation(token);
		}
        // 业务逻辑调用之后，主要是处理返回结果
		super.afterInvocation(token, null);
	}

FilterInvocation就是FilterInvocation、ServletResponse、FilterChain的简单封装。

我们看到整个invoke的逻辑非常清晰，很像AOP的around结构。

ExceptionTranslationFilter

ExceptionTranslationFilter的逻辑有点奇怪，它主要是为了处理 AccessDeniedException 和 AuthenticationException 异常。但是并不是处理它前面产生的异常，而是它后面的Filter产生的异常，因为它前面Filter如果异常了根本到不了它这里。

它后面，默认就只有FilterSecurityInterceptor了，主要会产生AccessDeniedException授权异常，AuthenticationException是因为有一个再认证的过程。

过滤器

  • WebAsyncManagerIntegrationFilter

  • SecurityContextPersistenceFilter

  • ChannelProcessingFilter

  • ConcurrentSessionFilter

  • HeaderWriterFilter

  • CorsFilter

  • CsrfFilter

  • LogoutFilter

  • OAuth3AuthorizationRequestRedirectFilter

  • Saml2WebSsoAuthenticationRequestFilter

  • X509AuthenticationFilter

  • AbstractPreAuthenticatedProcessingFilter

  • CasAuthenticationFilter

  • OAuth3LoginAuthenticationFilter

  • Saml2WebSsoAuthenticationFilter

  • UsernamePasswordAuthenticationFilter

  • ConcurrentSessionFilter

  • OpenIDAuthenticationFilter

  • DefaultLoginPageGeneratingFilter

  • DefaultLogoutPageGeneratingFilter

  • DigestAuthenticationFilter

  • BearerTokenAuthenticationFilter

  • BasicAuthenticationFilter

  • RequestCacheAwareFilter

  • SecurityContextHolderAwareRequestFilter

  • JaasApiIntegrationFilter

  • RememberMeAuthenticationFilter

  • AnonymousAuthenticationFilter

  • OAuth3AuthorizationCodeGrantFilter

  • SessionManagementFilter

  • ExceptionTranslationFilter

  • SwitchUserFilter

  • FilterSecurityInterceptor

到此，关于“什么是SpringSecurity过滤器”的学习就结束了，希望能够解决大家的疑惑。理论与实践的搭配能更好的帮助大家学习，快去试试吧！若想继续学习更多相关知识，请继续关注创新互联网站，小编会继续努力为大家带来更多实用的文章！


分享标题：什么是SpringSecurity过滤器
网址分享：http://cdweb.net/article/jeosgh.html

其他资讯