spring security 结构剖析

Spring Security是spring系列框架中一个功能强大的安全框架，用于在Spring应用程序中提供全面的身份认证（Authentication）和授权（Authorization）功能，本文是对Spring Security学习与理解的总结。

架构设计

filter 设计，Spring Security 也建立在JavaEE Filter 技术之上。

DelegatingFilterProxy

     spring security 是通过Servlet Filter 机制注册到servlet容器中Filter，代理一个spring 中定义的Servlet Filter 的Bean，比如调用FilterChainProxy，使用它是因为Servlet容器只允许使用按其标准注册Filter实例，但它不知道spring定义的bean。

FilterChainProxy

    将DelegatingFilterProxy filter请求委托给spring管理的 filter bean列表,可以配置SecurityFilterChain 配置filter bean列表。使用FilterChainProxy有很优点:

1. 它是spring security 支持servlet 的起点
2. 它可以执行非可选的任务。例如，它清除SecurityContext以避免内存泄漏。它还应用Spring Security的HttpFirewall来保护应用程序免受某些类型的攻击。
3. 相比在Servlet容器中，仅根据URL调用Filter实例，FilterChainProxy 提供了更大的灵活性，可以通过使用RequestMatcher接口，基于HttpServletRequest中的内容来确定调用

Security Filters

    执行具体安全任务的过滤器，这些过滤器可用于许多不同的目的，如身份验证、授权等。过滤器按照特定的顺序执行，以保证在正确的位置调用它们。

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf(Customizer.withDefaults())
            .authorizeHttpRequests(authorize -> authorize
                .anyRequest().authenticated()
            )
            .httpBasic(Customizer.withDefaults())
            .oauth2Client(Customizer.withDefaults())
            .formLogin(Customizer.withDefaults());
        return http.build();
    }

}

上述代码将配置4个filter

Filter	Added by
CsrfFilter	HttpSecurity#csrf
UsernamePasswordAuthenticationFilter	HttpSecurity#formLogin
BasicAuthenticationFilter	HttpSecurity#httpBasic
AuthorizationFilter	HttpSecurity#authorizeHttpRequests
OAuth2LoginAuthenticationFilter	.HttpSecurity#foauth2Client

 AbstractAuthenticationProcessingFilter  是验证身份验证的基本过滤器,UsernamePasswordAuthenticationFilter、OAuth2LoginAuthenticationFilter 者继承此抽像类。

可以将自定义的filter 添加到SecurityFilterChain中，例将自定义的filter 添加AuthorizationFilter之前。

public class TenantFilter implements Filter {

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) servletRequest;
        HttpServletResponse response = (HttpServletResponse) servletResponse;
     ........
    }
}


@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        // ...
        .addFilterBefore(new TenantFilter(), AuthorizationFilter.class); 
    return http.build();
}

注：如果定义一个Filter 时定义为一个Bean，会自动将其注册到嵌入容器中

ExceptionTranslationFilte

这个spring security 的异常处理过程，这个Security Filters.是Java异常和HTTP响应之间的桥梁，会将AccessDeniedException and AuthenticationException 转换为HTTP响应。

Authentication（身份验证）设计

spring security 中很多安全管理任务都是通过其Security Filter 实现，身份验证也是通过不同类型的Security Filter支持多种身份验证类型，如用户名密码，token等

身份验证过虑器

通过不同类的过滤器实现不同类型的身份验证，其作用是丛HttpServletRequest 中创建Authentication对象(Authentication 是一个接口，根据不同的身份验证有多种类型的实现类)，传递给AuthenticationManager。oAuth2使用的Security Filter 是BearerTokenAuthenticationFilter

身份验证者管理器

 AuthenticationManager - 身份验证管理器接口，定义Spring Security的过滤器如何执行身份验证。最重要的就是决定调用那个AuthenticationProvider 的实现类。

ProviderManager -  AuthenticationManager最常见的实现，其代理了很多类型AuthenticationProvider，用于不同类型的身份验证

身份验证者

AuthenticationProvider - 这个接口有多个实现类，用于不同类型的身份验证，由ProviderManager根据身份验证类型决定执行那个实现类,oAuth2使用的实现类是JwtAuthenticationProvide，OAuth2LoginAuthenticationProvider

Security上下文

SecurityContextHolder - SecurityContextHolder是Spring Security存储身份验证详细信息的地方。

SecurityContext - 从SecurityContextHolder中获得，并包含当前已验证用户的Authentication

Authentication -  包含Principal、Credentials、Authorities,Credentials是用户提供的用于身份验证的凭据

principal - 用户信息，或者说请求身份验证的主体。

credentials - 用户请求中包含的身份验证信息，身份验证成功一般会清除此信息

authorities - 用户授予用户的权限(即角色、范围等)。一般是身份验证成功后丛token解析出的用户权限信息保存在这个对象里.

AuthenticationEntryPoint - 用于发送请求客户端凭据的HTTP响应。例如，对未带身份验证信息的请求重定向到登录页面

Authorization（鉴权）设计

在身份验证通过后，权限信息（Authorities）会保存在Authentication 对象中，Spring Security提供了过滤器和各种拦截器来控制对安全对象(如方法调用或web请求)的访问。拦截器是使用AuthorizationManager 的实现类判定是否有权限调用或调用返回值是否与权限一致。

AuthorizationManager 代替了AccessDecisionManager and AccessDecisionVoter.

 HTTP Requests Authorization

AuthorizationFilter 是spring Security filter chain 中默认最后的过虑器，代替了FilterSecurityInterceptor拦截器

HttpSecurity 配置时如果使用authorizeHttpRequests 那鉴权过虑器使用AuthorizationFilter，如果使用authorizeRequests鉴权过虑器使用FilterSecurityInterceptor

Method Security

Spring Security提供了各种拦截器来支持方法级安全保护。需要配置类中添加@EnableMethodSecurity 或在xml配置文中添加<method-security> 

之后就可以在spring 管理类或方法上添加 @PreAuthorize, @PostAuthorize, @PreFilter, and @PostFilter 鉴权方法调用，包含入参和方法return值 。

@Secured 是遗留的选项，建议使用@PreAuthorize 代替。要使用@Secured 需要在EnableMethodSecurity注解中指定securedEnabled = true