Spring Security 学习记录

一、核心拦截器详细说明

1.WebAsyncManagerIntegrationFilter

根据请求封装获取WebAsyncManager
从WebAsyncManager获取/注册SecurityContextCallableProcessingInterceptor

2.SecurityContextPersistenceFilter

先实例SecurityContextHolder->HttpSessionSecurityContextRepository（下面以repo代替）
作用：其会从Session中取出已认证用户的信息,提高效率,避免每一次请求都要查询用户认证信息
根据请求和响应构建HttpRequestResponseHolde
repo根据HttpRequestResponseHolder加载context获取SecurityContext
SecurityContextHolder将获得到的SecurityContext设置到Context中，然后继续向下执行其他过滤器
finally-> SecurityContextHolder获取SecurityContext，然后清除，
并将其和请求信息保存到repo，从请求中移除FILTER_APPLIED属性

3.HeaderWriterFilter
往该请求的Header中添加相应的信息,在http标签内部使用security:headers来控制

4.CsrfFilter
csrf又称跨域请求伪造，攻击方通过伪造用户请求访问受信任站点。
对需要验证的请求验证是否包含csrf的token信息，如果不包含，则报错。
这样攻击网站无法获取到token信息，则跨域提交的信息都无法通过过滤器的校验。

5.LogoutFilter
匹配URL,默认为/logout
匹配成功后则用户退出,清除认证信息

6.RequestCacheAwareFilter
通过HttpSessionRequestCache内部维护了一个RequestCache，用于缓存HttpServletRequest

7.SecurityContextHolderAwareRequestFilter
针对ServletRequest进行了一次包装，使得request具有更加丰富的API

8.AnonymousAuthenticationFilter
当SecurityContextHolder中认证信息为空,则会创建一个匿名用户存入到SecurityContextHolder中。

9.SessionManagementFilter
securityContextRepository限制同一用户开启多个会话的数量
SessionAuthenticationStrategy防止session-fixation protection attack（保护非匿名用户）

10.ExceptionTranslationFilter
ExceptionTranslationFilter异常转换过滤器位于整个springSecurityFilterChain的后方，
用来转换整个链路中出现的异常
此过滤器的作用是处理中FilterSecurityInterceptor抛出的异常，然后将请求重定向到对应页面，
或返回对应的响应错误代码

11.FilterSecurityInterceptor
获取到所配置资源访问的授权信息
根据SecurityContextHolder中存储的用户信息来决定其是否有权限
主要一些实现功能在其父类AbstractSecurityInterceptor中

12.UsernamePasswordAuthenticationFilter
表单认证是最常用的一个认证方式，一个最直观的业务场景便是允许用户在表单中输入用户名和密码进行登录，
而这背后的UsernamePasswordAuthenticationFilter，在整个Spring Security的认证体系中则扮演着至关重要的角色

二、框架的核心组件

SecurityContextHolder：提供对SecurityContext的访问

SecurityContext：持有Authentication对象和其他可能需要的信息

AuthenticationManager ：其中可以包含多个AuthenticationProvider; ProviderManager对象为AuthenticationManager接口的实现类

AuthenticationProvider：主要用来进行认证操作的类 调用其中的authenticate()方法去进行认证操作

Authentication：Spring Security方式的认证主体

GrantedAuthority：对认证主题的应用层面的授权，含当前用户的权限信息，通常使用角色表示

UserDetails：构建Authentication对象必须的信息，可以自定义，可能需要访问DB得到

UserDetailsService：通过username构建UserDetails对象，通过loadUserByUsername根据userName获取UserDetail对象