SpringSecurity（二）Web安全

Web安全

在SpringSecurity中，认证、授权等功能都是基于过滤器来完成的。如下表：

过滤器 过滤器作用 是否默认加载 ChannelProcessingFilter 过滤请求协议，如HTTPS和HTTP 否 WebAsyncManagerIntegrationFilter 将WebAsyncManager与Spring Security上下文进行集成 是 SecurityContextPersistenceFilter 在处理请求之前，将安全信息加载导SecurityContextHolder中以方便后续使用。请求结束后，在移除SecurityContextHolder中的信息 是 HeaderWiterFilter 头信息加入到响应中 是 CorsFilter 处理跨域问题 否 CsrfFilter 处理CSRF攻击 是 LogoutFilter 处理注销登录 是 OAuth2AuthorizationRequestRedirectFilter 处理OAuth2认证重定向 否 Saml2WebSsoAuthenticationRequestFilter 处理SAML认证 否 X509AuthenticationFilter 处理X509认证 否 AbstractPreAuthenticatedProcessingFilter 处理预认证问题 否 CasAuthenticationFilter 处理CAS单点登录 否 OAuth2LoginAuthenticationFilter 处理OAuth2认证 否 Saml2WebSsoAuthenticationFilter 处理SAML认证 否 UsernamePasswordAuthenticationFilter 处理表单登录 是 OpenIDAuthenticationFilter 处理OpenID认证 否 DefaultLoginPageGeneratingFilter 配置默认登录页面 是 DefaultLogoutPageGeneratingFilter 配置默认注销页面 是 ConcurrentSessionFilter 处理Session有效期 否 DigestAuthenticationFilter 处理HTTP摘要认证 否 BearerTokenAuthenticationFilter 处理OAuth2认证时的Access Token 否 BasicAuthenticationFilter 处理HttpBasic登录 是 RequestCacheAwareFilter 处理请求换成 是 SecurityContextHolderAwareRequestFilter 包装原始请求 是 JaasApiIntegrationFilter 处理JAAS认证 否 RememberMeAuthenticationFilter 处理RememberMe登录 否 AnonymousAuthenticationFilter 配置匿名认证 是 OAuth2AuthorizationCodeGrantFilter 处理OAuth2认证中的授权码 否 SessionManagementFilter 处理Session并发问题 是 ExceptionTranslationFilter 处理异常认证/授权中的情况 是 FilterSecurityInterceptor 处理授权 是 SwitchUserFilter 处理账户切换 否

此处默认加载是指引入 Spring Security依赖之后，不用任何配置，就会自动加载的过滤器

我们所见到SpringSecurity提供的功能，都是通过这些过滤器来实现的，这些过滤器按照既定的优先级排列，最终行程一个过滤器链。我们也可以自定义过滤器，并通过@Order来调整自定义过滤器在过滤链中的位置。

需要注意的是，默认过滤器并不是直接放在Web项目的原生过滤器链中，而是通过一个FilterChainProxy来统一管理。SpringSecurity中的过滤链通过FilterChainProxy嵌入到Web项目的原生过滤器链中，如下：

在SpringSecurity中，这样的过滤器链不仅仅只有一个，可能会有多个，当存在多个过滤器链时，多个过滤器链之间要指定优先级，当请求到达后，会从FilterChainProxy进行分发，先和哪个过滤器链匹配上，就用哪个过滤器链进行处理。当系统中存在多个不同的认证体系时，那么使用多个过滤器链就是非常有效。

登录数据保存

如果不使用SpringSecurity这一类的安全管理框架，我们以往通常会将用户登录数据保存在Session中，事实上，SpringSecurity也是这么做的。但是，为了方便SpringSecurity在此基础上还做了一些改进，其中最主要的一个变化就是线程绑定。

当用户登录成功后。SpringSecurity会将登录成功的用户保存到SecurityContextHolder中，SpringSecurityContextHolder中的数据保存默认是通过ThreadLocal来实现的，使用ThreadLocal创建的变量只能被当前线程访问，不能被其他线程访问和修改，也就是用户数据和请求线程绑定在一起。当登录请求处理完毕后，SpringSecurity会将SecurityContextHolder中的数据拿出来保存到Session中，同时将SecurityContextHolder中的数据情况，以后每当请求来时，SpringSecurity就会先从Session中取出登录数据，保存到SpringContextHolder中，方便在该请求的后续处理过程中使用，同时在请求结束时将SecurityContextHolder中的数据拿出来保存到Session中，然后在清空SecurityContextHolder中的数据。

这一策略非常方便用户在Controller或者Service层获取当前登录用户数据，但是带来的另一个问题就算，在子线程中想要获取用户登录数据就比较麻烦。SpringSecurity对此也提供了响应的解决方案，如果我们使用@Async注解来开启异步任务的话，那么只需要添加如下配置，使用SpringSecurity提供的异步任务代理，就可以在异步任务中从SecurityContextHolder里获取当前登录的用户信息。

@Configuration public class ApplicationConfiguration extends AsyncConfigurerSupport { @Override public Executor getAsyncExecutor() { return new DelegatingSecurityContextExecutorService(Executors.newFixedThreadPool(5)) } }