全面解析Spring Security 内置 Filter

什么是Spring Security

Spring Security 是一个完全基于 Spring Framework 的企业应用系统安全性管理框架，提供了诸如身份认证、授权、攻击防范等企业安全所需的基本功能，并且提供了丰富的扩展点，可以根据需求进行二次开发。

Spring Security 内置 Filter

Spring Security 提供了一系列的内置 Filter，来提供常见的安全功能，如用户认证、授权、会话管理、记住我等。

下面是 Spring Security 内置 Filter 的一些常用描述：

• AuthenticationFilter：负责处理用户认证（登录）的过滤器。
• UsernamePasswordAuthenticationFilter：作为 AuthenticationFilter 的子类，负责处理用户名密码认证。
• BasicAuthenticationFilter：通过 HTTP 请求中的 Basic 认证头来进行认证。
• DefaultLoginPageGeneratingFilter：生成标准的登录页面的过滤器。
• RememberMeAuthenticationFilter：处理“记住我”功能的过滤器。
• SessionManagementFilter：控制会话管理的过滤器，如创建会话、使正在处理的请求与会话关联、在会话过期时将用户注销等。
• LogoutFilter：处理用户退出登录的过滤器。

AuthenticationFilter

AuthenticationFilter 提供了用户认证的整个流程，并且将用户认证的结果以 Authentication 对象的形式存储在 SecurityContextHolder 中，提供给后续的 Filter 和应用程序使用。

AuthenticationFilter 是一个过滤器链的顶端，处理用户认证操作。在通过认证之后，AuthenticationFilter 会把 Authentication 存储在 SecurityContextHolder 中。AuthenticationFilter的默认处理逻辑是，使用AuthenticationManager提供的AuthenticationProvider进行用户身份验证。

UsernamePasswordAuthenticationFilter

UsernamePasswordAuthenticationFilter 作为 AuthenticationFilter 的子类，提供了能够处理基于用户名和密码的认证的认证器。

当用户提交登录请求时，UsernamePasswordAuthenticationFilter 会从请求中获取用户名和密码并验证，验证成功后，将 Authentication 对象进行存储、封装和传递。

下面是一个示例代码：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password("{noop}password").roles("USER");
    }
}

在上面的示例中，我们定义了一个简单的 WebSecurityConfigurerAdapter。其中，登录页面使用了 formLogin()，并允许所有用户访问它，而且任何请求都需要进行身份认证。同时，我们还提供了一个内存用户，这个用户的用户名是 user，密码是 password，角色是 USER。

BasicAuthenticationFilter

BasicAuthenticationFilter 通过 HTTP 请求中的 Basic 认证头来进行认证，适合在浏览器应用程序和移动设备应用程序中使用。

在接受用户请求时，BasicAuthenticationFilter 将会先检查 HTTP 请求头中 Basic 认证是否存在，如果存在，则会尝试解码该请求头并进行用户认证。如果认证成功，则 Authentication 对象存储在 SecurityContextHolder 中。

下面是一个示例代码：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    protected void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
          .withUser("user").password("{noop}password").roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
          .authorizeRequests()
          .antMatchers("/admin/**").hasRole("ADMIN")
          .anyRequest().authenticated()
          .and()
          .httpBasic();
    }
}

在上面的示例中，我们定义了一个简单的 WebSecurityConfigurerAdapter，其中，我们使用了 httpBasic()，后面跟了一组规则来限制访问。任何请求都需要进行身份认证，而且只有拥有 ADMIN 角色的用户，才可以访问 /admin/** 目录。

总结

Spring Security 提供了一系列的内置 Filter，大大简化了我们进行安全性控制的开发难度。其中，AuthenticationFilter 和 UsernamePasswordAuthenticationFilter 处理了用户认证流程，BasicAuthenticationFilter 则使用了 HTTP Basic 认证来进行认证，通过这些 Filter，我们可以为我们的应用程序提供基本的安全措施。