三、Spring Boot集成Spring Security之过滤器链详解

已于 2024-10-15 09:18:43 修改
阅读量1.1k 收藏 28
点赞数 19
分类专栏： 技术研究 # Spring Security 文章标签： spring spring boot java Spring Security 过滤器链
于 2024-10-09 16:58:06 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/dhbfjh/article/details/142656529
版权

一、Spring Boot集成Spring Security专栏

一、Spring Boot集成Spring Security之自动装配

二、Spring Boot集成Spring Security之实现原理

三、Spring Boot集成Spring Security之过滤器链详解

四、Spring Boot集成Spring Security之认证流程

五、Spring Boot集成Spring Security之认证流程2

二、默认过滤器链

1、默认配置系统启动日志

image-20241011164955035

2、默认配置的过滤器及顺序如下

  1. org.springframework.security.web.session.DisableEncodeUrlFilter
  2. org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter
  3. org.springframework.security.web.context.SecurityContextPersistenceFilter
  4. org.springframework.security.web.header.HeaderWriterFilter
  5. org.springframework.security.web.csrf.CsrfFilter
  6. org.springframework.security.web.authentication.logout.LogoutFilter
  7. org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter
  8. org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter
  9. org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter
  10. org.springframework.security.web.authentication.www.BasicAuthenticationFilter
  11. org.springframework.security.web.savedrequest.RequestCacheAwareFilter
  12. org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter
  13. org.springframework.security.web.authentication.AnonymousAuthenticationFilter
  14. org.springframework.security.web.session.SessionManagementFilter
  15. org.springframework.security.web.access.ExceptionTranslationFilter
  16. org.springframework.security.web.access.intercept.FilterSecurityInterceptor

3、本文只介绍和登录相关的过滤器

  1. SecurityContextPersistenceFilter
  2. LogoutFilter
  3. UsernamePasswordAuthenticationFilter
  4. DefaultLoginPageGeneratingFilter
  5. DefaultLogoutPageGeneratingFilter
  6. AnonymousAuthenticationFilter
  7. ExceptionTranslationFilter
  8. FilterSecurityInterceptor

三、登录重要概念介绍

  1. 安全上下文仓库（SecurityContextRepository）：用于存储安全上下文，默认基于session实现（HttpSessionSecurityContextRepository）
  2. 安全上下文持有者（SecurityContextHolder）：用于存储本次请求的安全上下文，默认基于ThreadLocal实现
  3. 安全上下文（SecurityContext）：用于存储认证信息
  4. 认证信息（Authentication）：用于存储用户及认证结果信息，主要实现类有
    • 用户名密码认证Token：UsernamePasswordAuthenticationToken
    • 匿名认证Token：AnonymousAuthenticationToken
  5. 登录页面请求：跳转到登录页面的请求
  6. 登录请求：在登录页面输入用户名密码后提交的请求
  7. 登出页面请求：跳转到登出页面的请求
  8. 登出请求：在登出页面确认登出提交的请求
  9. 过滤器介绍
    1. 过滤器的入口为doFilter(ServletRequest request, ServletResponse response, FilterChain chain)方法
    2. 过滤器主要分为三部分：chain.doFilter之前代码，chain.doFilter，chain.doFilter之后的代码
    3. chain.doFilter之前的代码按照过滤器链顺序执行
    4. chain.doFilter之后的代码按照过滤器链倒序执行
    5. 调用chain.doFilter表示执行后续的过滤器；不调用chain.doFilter表示不执行后续的过滤器，会按过滤器链倒序执行已经调用的过滤器chain.doFilter之后的代码，这点很重要，下面在介绍每个过滤器时不再赘述。

四、SecurityContextPersistenceFilter

1、实现功能

  1. 登录成功之后的身份认证

2、处理请求类型

  • 所有请求

3、是否会终止过滤器链

  • 不会

4、实现步骤

  1. 从安全上下文仓库中获取安全上下文，如果为空则创建没有认证信息的安全上下文
  2. 将安全上下文设置到安全上下文持有者中供后续业务使用
  3. 调用后续过滤器链
  4. 从安全上下文持有者中获取最新的认证信息
  5. 清除安全上下文持有者中的认证信息
  6. 将步骤4中的认证信息添加到安全上下文仓库中

5、关键源码

image-20241011170847714

五、LogoutFilter

1、实现功能

  1. 清除认证信息
  2. 重定向登录页面

2、处理请求类型

  • 登出请求（默认：POST、/logout请求）

3、是否会终止过滤器链

  • 登出请求时会终止

4、实现步骤

  1. 匹配请求地址
  2. 清除认证信息（CompositeLogoutHandler中注册的LogoutHandler实现类）
  3. 调用登出成功处理器，默认SimpleUrlLogoutSuccessHandler实现重定向登录页面功能，推荐自定义配置，后续介绍

5、关键源码

image-20241011171703708

六、UsernamePasswordAuthenticationFilter

1、实现功能

  1. 使用提交的用户名密码生成用户名密码认证Token
  2. 根据认证结果做不同处理

2、处理请求类型

  • 登录请求（默认：POST、/login请求）

3、是否会终止过滤器链

  • 认证失败时会终止过滤器链，重定向默认登录地址
  • 认证成功时会终止过滤器链，重定向到目标URL地址

4、实现步骤

  1. 匹配请求地址
  2. 默认配置：提交的用户名密码和内存中用户名密码匹配，并校验用户和密码的是否有效等信息
  3. 认证失败时重定向到登录页面
  4. 认证成功时将已认证的安全上下文设置到安全上下文持有者中
  5. 重定向到目标URL地址（未认证访问目标地址，会先重定向登录页面，登录成功后再重定向到目标URL地址）

5、关键源码

image-20241011173506923

七、DefaultLoginPageGeneratingFilter

1、实现功能

  1. 生成默认登录页面

2、处理请求类型

  • 登录页面请求（默认GET、/login请求）
  • 登录失败
  • 登出成功

3、是否会终止过滤器链

  • 登录页面请求、登录失败、登出成功时会终止过滤器链

4、关键源码

image-20241011174012391

八、DefaultLogoutPageGeneratingFilter

1、实现功能

  1. 生成默认登出页面

2、处理请求类型

  • 登出页面请求（默认：GET、/logout请求）

3、是否会终止过滤器链

  • 登出页面请求时会终止过滤器链

4、关键源码

image-20241011175625114

九、AnonymousAuthenticationFilter

1、实现功能

  1. 当前认证信息为空时生成匿名认证信息

2、处理请求类型

  • 所有请求

3、是否会终止过滤器链

  • 不会

4、关键源码

image-20241011180011843

十、ExceptionTranslationFilter

1、实现功能

  1. 处理FilterSecurityInterceptor抛出的异常，根据异常做相应处理

2、处理请求类型

  • 所有请求

3、是否会终止过滤器链

  • 认证失败时会重定向登录页面
  • 授权失败时会返回错误信息

4、关键源码

image-20241011180451374

十一、FilterSecurityInterceptor

1、实现功能

  1. 认证和授权

2、处理请求类型

  • 所有请求

3、是否会终止过滤器链

  • 认证或授权失败会抛出异常由ExceptionTranslationFilter处理该异常

4、关键源码

image-20241011180950735

那你为何对我三笑留情
关注
专栏目录
《滚雪球学Spring Boot》教程导航帖（更新于2024.06.20）
**My Coding Family**
06-29 4万+
《滚雪球学Spring Boot》是由CSDN博主bug菌创作的全面Spring Boot教程。作者是全栈开发专家，在多个技术社区如CSDN、掘金、InfoQ、51CTO等担任博客专家，并拥有超过30万的全网粉丝。该教程分为入门篇和进阶篇，每篇包含详细的教学步骤，涵盖Spring Boot的基础和高级主题。
spring-boot-2-security-jwt:使用JWT和持久用户的基本Spring Boot 2和Spring Security应用程序
05-16
1. 配置JWT过滤器：在Spring Security的过滤链中添加JWT过滤器，用于解析请求头中的JWT令牌并进行身份验证。 2. 创建TokenProvider：生成和验证JWT的类，通常包含密钥生成、签名和解码等方法。 3. 用户认证：通过...
二、Spring Boot集成Spring Security之实现原理
JavaEE技术进阶之路
09-30 932
Spring Security实现原理详解
一、Spring Boot集成Spring Security之自动装配
JavaEE技术进阶之路
09-29 1575
Spring Boot集成Spring Security之自动装配
【Spring Security系列】Spring Security 过滤器详解与基于JDBC的认证实现
小威的博客
04-18 1万+
Spring Security 的过滤器链由多个过滤器组成，每个过滤器负责处理特定的安全任务。当请求到达应用程序时，它会依次通过过滤器链中的每个过滤器，直到到达目标资源。在过滤器链中，每个过滤器都可以对请求进行拦截、修改或执行其他操作，以确保应用程序的安全性。：负责将安全上下文存储在HttpSession中，以便在后续请求中访问。：处理基于表单的身份验证。它拦截包含用户名和密码的请求，并执行身份验证过程。：处理注销请求，清除安全上下文和会话数据。：捕获并处理认证和授权过程中发生的异常。
Spring Security 详解
热门推荐
qq_22075913的博客
06-06 12万+
​ Spring Security 是 Spring家族中的一个安全管理框架。相比与另外一个安全框架Shiro，它提供了更丰富的功能，社区资源也比Shiro丰富。一般来说中大型的项目都是使用SpringSecurity来做安全框架。小项目有Shiro的比较多，因为相比与SpringSecurity，Shiro的上手更加的简单。​ 一般Web应用的需要进行认证和授权。​ 而认证和授权也是SpringSecurity作为安全框架的核心功能。视频地址：​ 我们先要搭建一个简单的SpringBoot工程① 设置父工
四、Spring Boot集成Spring Security之认证流程
JavaEE技术进阶之路
10-10 1321
Spring Boot集成Spring Security之认证流程详解包括登录和登出流程
Java Web Spring Boot中的Filter过滤器详解
xycxycooo的博客
07-25 746
首先，我们需要定义一个过滤器类，实现接口，并重写其所有方法。System . out . println("init 初始化方法执行了");System . out . println("Demo 拦截到了请求...放行前逻辑");// 放行 chain . doFilter(request , response);System . out . println("destroy 销毁方法执行了");} }
五、Spring Boot集成Spring Security之认证流程2
JavaEE技术进阶之路
10-14 760
Spring Boot集成Spring Security认证流程2包括自定义UserDetailsService实现
集成Spring Security详解
shiming8879的博客
10-19 1071
Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架，它专注于为Java应用程序提供全面的安全解决方案。作为Spring项目的一部分，Spring Security继承了Spring框架的灵活性和可扩展性，能够轻松地集成到任何Spring应用程序中。Spring Security不仅提供了基本的身份验证和授权功能，还支持多种认证方式（如表单登录、HTTP Basic、Digest认证等）、细粒度的访问控制、会话管理、安全审计等高级功能。
详解如何在spring boot中使用spring security防止CSRF攻击
08-27
Spring Boot 中使用 Spring Security 防止 CSRF 攻击 CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。CSRF 攻击可以盗用用户的...
SpringBoot 实现图片加水印
最新发布
心猿意码
11-11 281
通过上述步骤，我们可以在SpringBoot项目中实现一个简单的图片加水印功能。当然，实际应用中可能需要更复杂的水印处理，比如水印图片、调整水印位置等，可以根据需求进行相应的扩展和优化。
spring -第十四章 spring事务
m0_74606902的博客
11-11 594
要在spring中实现事务有两种方式编程式事务：编写代码手动的开启、提交、回滚事务。声明式事务：使用注解或xml配置文件进行事务管理。
基于 SpringBoot 实现QQ邮箱验证码注册功能
2301_79201049的博客
11-06 685
找到并开通以下的邮件协议服务，而且服务开启也较为简单，需要我们发送一个短信到指定的号码，开启后平台会提供一个授权码，一定要记住这个授权码，发邮件的时候需要这个。host 是根据服务主机区分，网易邮箱是 smtp.163.com, qq邮箱是 smtp.qq.com。其中的 username 是你第一步中操作的邮箱账号，nickname 是接收者收到邮件中显示的发件人。发送邮件的核心依赖是 mail ，由于该项目还涉及其他依赖就全都导进来了。（1）首先打开QQ邮箱，点击设置并来到账号页面。
SpringBoot助力的共享汽车业务优化系统
2402_85762143的博客
11-09 1089
在整个系统测试中，根据需求文档和设计文档，逐一对功能进行检测并写好测试用例，有效避免残片缺陷，因为产品出现缺陷不仅影响功能，而且可以导致数据的不准确，导致产品质量的降低，经过测试，才能使得产品的稳定性和成熟度得到极大的提升，产品质量也才有保证。近来，软件工程界趋向于一种新的观点，即认为软件生命周期每一阶段中都应包含测试，从而检验本阶段的成果是否接近预期的目标，尽可能早的发现错误并加以修正，如果不在早期阶段进行测试，错误的延时扩散常常会导致最后成品测试的巨大困难。任务：消除软件故障，保证程序的可靠运行。
Spring资源加载模块，原来XML就这，活该被注解踩在脚下 手写Spring第六篇了
mkii_hong的博客
11-11 658
Spring通过【资源】和【资源加载】帮我们找到这些配置文件然后通过大厨解析配置最后把"菜"（Bean）放到"厨房"（容器）里本文由 https://github.com/hongweihao/small-spring/tree/6_resource_load 赞注完成本文完 | 求赞求关注求转发!
【开源免费】基于SpringBoot+Vue.JS美发门店管理系统（JAVA毕业设计）
customer08的博客
11-11 905
基于Vue.js和SpringBoot开发的美发门店管理系统是一个功能全面的解决方案，旨在为美发店提供高效的日常运营支持。该系统分为两个主要部分：管理后台和用户网页端，以满足不同用户角色的需求。
七、Spring Boot集成Spring Security之前后分离认证最佳实现
JavaEE技术进阶之路
11-06 1017
前后分离项目认证流程代码实现，基于spring security原生流程设计，实现RESTFUL接口、分布式缓存
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

那你为何对我三笑留情

感谢支持，沉淀自己，帮助他人！

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值