Spring Security 学习总结

Spring Security

Spring Security是基于Spring提供声明式安全保护的安全性框架。Spring Security提供了完整的安全性解决方案，能够在Web请求级别和方法调用级别处理身份认证和授权。

Spring Security从两个角度来解决安全性问题：

1. 使用Servlet规范中的Filter保护Web请求并限制URL级别的访问；
2. 使用Spring AOP保护方法调用——借助于动态代理和使用通知，确保只有具备适当权限的用户才能访问安全保护的方法。

Spring Security被分为了11个模块：

过滤Web请求

Spring Security基于DelegatingFilterProxy实现其安全性需要的过滤功能。DelegatingFilterProxy是一个特殊的Servlet Filter，主要将工作委托给一个javax.servlet.Filter实现类，实现类将作为一个bean注册在Spring应用的上下文中。

Java配置方式，配置DelegatingFilterProxy：

public class SecurityWebInitializer extends

                 AbstractSecurityWebApplicationInitializer {}    

  AbstractSecurityWebApplicationInitializer 实现了 WebApplicationInitializer ，因此将被Spring容器并注册 DelegatingFilterProxy。实现类可以重载抽象类中的appendFilters()或insertFilters()方法来注册自己选择的Filter，但如果只是注册DelegatingFilterProxy的话，不需要重载任何方法。
  完成配置DelegatingFilterProxy后，它就会拦截发往应用中的请求，并将请求委托给ID为springSecurityFilterChain的Bean。

  springSecurityFilterChain本身是另一个特殊的Filter，也叫 FilterChainProxy。它可以链接任意一个或多个其他的Filter。Spring Security依赖一系列Servlet Filter来提供不同的安全特性。实际开发中，只需要显式声明springSecurityFilterChain以及它所链接的Filter即可。启动Web安全性时将自动创建。    

  简单的安全性配置--基于Java配置
　

@Configuration

@EnableWebSecurity // 启用Web安全性

public class SecurityConfig extends WebSecurityConfigurerAdapter {

    /**

     * 简单的默认配置：指定该如何保护HTTP请求

     * @param http

     * @throws Exception

     */

    protected void configure(HttpSecurity http) throws Exception {

        http

                .authorizeRequests()

                .anyRequest().authenticated()

                .and()

                .formLogin().and()

                .httpBasic();

    }

}

@EnableWebSecurity注解将会启用Web安全功能，ps：Spring Security必须配置在一个实现了WebSecurityConfigurer的bean中，或者扩展 WebSecurityConfigurerAdapter 。

　具体的Web安全细节，将通过重写WebSecurityConfigurerAdapter 中的一个或多个方法来实现，如其中的三个configure()方法来配置Web安全性，具体通过传递的参数设置行为。

  示例代码中进行了简单的默认配置，指定如何保护HTTP请求，以及客户端认证用户的方案。调用authorizeRequests()和anyRequest().authenticated()就会要求所有进入应用的HTTP请求都要进行认证。formLogin()和httpBasic()则配置了对表单登录和HTTP Basic方式的支持。
  注意：因为没有重写configure(AuthenticationManagerBuilder)方法，所以没有用户存储支撑认证过程。进而所有的请求都要认证，且没人可成功登陆。
  后续需要的配置如下：

1. 配置用户存储
2. 指定具体需要认证的请求及所需权限
3. 提供自定义登陆页面
4. 基于安全限制，设置选择性地在Web视图上显示特定的内容

user-detail服务 **

　　优势：内置了多种常见的用户存储场景，如内存、关系型数据库以及LDAP，能够基于各种数据存储来认证用户。