Spring Security是spring系列框架中一个功能强大的安全框架,用于在Spring应用程序中提供全面的身份认证(Authentication)和授权(Authorization)功能,本文是对Spring Security学习与理解的总结。
架构设计
filter 设计,Spring Security 也建立在JavaEE Filter 技术之上。
DelegatingFilterProxy
spring security 是通过Servlet Filter 机制注册到servlet容器中Filter,代理一个spring 中定义的Servlet Filter 的Bean,比如调用FilterChainProxy,使用它是因为Servlet容器只允许使用按其标准注册Filter实例,但它不知道spring定义的bean。
FilterChainProxy
将DelegatingFilterProxy filter请求委托给spring管理的 filter bean列表,可以配置SecurityFilterChain 配置filter bean列表。使用FilterChainProxy有很优点:
- 它是spring security 支持servlet 的起点
- 它可以执行非可选的任务。例如,它清除SecurityContext以避免内存泄漏。它还应用Spring Security的HttpFirewall来保护应用程序免受某些类型的攻击。
- 相比在Servlet容器中,仅根据URL调用Filter实例,FilterChainProxy 提供了更大的灵活性,可以通过使用RequestMatcher接口,基于HttpServletRequest中的内容来确定调用
Security Filters
执行具体安全任务的过滤器,这些过滤器可用于许多不同的目的,如身份验证、授权等。过滤器按照特定的顺序执行,以保证在正确的位置调用它们。
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.csrf(Customizer.withDefaults())
.authorizeHttpRequests(authorize -> authorize
.anyRequest().authenticated()
)
.httpBasic(Customizer.withDefaults())
.oauth2Client(Customizer.withDefaults())
.formLogin(Customizer.withDefaults());
return http.build();
}
}
上述代码将配置4个filter
Filter | Added by |
CsrfFilter | HttpSecurity#csrf |
UsernamePasswordAuthenticationFilter | HttpSecurity#formLogin |
BasicAuthenticationFilter | HttpSecurity#httpBasic |
AuthorizationFilter | HttpSecurity#authorizeHttpRequests |
OAuth2LoginAuthenticationFilter | .HttpSecurity#foauth2Client |
AbstractAuthenticationProcessingFilter 是验证身份验证的基本过滤器,UsernamePasswordAuthenticationFilter、OAuth2LoginAuthenticationFilter 者继承此抽像类。
可以将自定义的filter 添加到SecurityFilterChain中,例将自定义的filter 添加AuthorizationFilter之前。
public class TenantFilter implements Filter {
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest) servletRequest;
HttpServletResponse response = (HttpServletResponse) servletResponse;
........
}
}
@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
// ...
.addFilterBefore(new TenantFilter(), AuthorizationFilter.class);
return http.build();
}
注:如果定义一个Filter 时定义为一个Bean,会自动将其注册到嵌入容器中
ExceptionTranslationFilte
这个spring security 的异常处理过程,这个Security Filters.是Java异常和HTTP响应之间的桥梁,会将AccessDeniedException and AuthenticationException 转换为HTTP响应。
Authentication(身份验证)设计
spring security 中很多安全管理任务都是通过其Security Filter 实现,身份验证也是通过不同类型的Security Filter支持多种身份验证类型,如用户名密码,token等
身份验证过虑器
通过不同类的过滤器实现不同类型的身份验证,其作用是丛HttpServletRequest 中创建Authentication对象(Authentication 是一个接口,根据不同的身份验证有多种类型的实现类),传递给AuthenticationManager。oAuth2使用的Security Filter 是BearerTokenAuthenticationFilter
身份验证者管理器
AuthenticationManager - 身份验证管理器接口,定义Spring Security的过滤器如何执行身份验证。最重要的就是决定调用那个AuthenticationProvider 的实现类。
ProviderManager - AuthenticationManager最常见的实现,其代理了很多类型AuthenticationProvider,用于不同类型的身份验证
身份验证者
AuthenticationProvider - 这个接口有多个实现类,用于不同类型的身份验证,由ProviderManager根据身份验证类型决定执行那个实现类,oAuth2使用的实现类是JwtAuthenticationProvide,OAuth2LoginAuthenticationProvider
Security上下文
SecurityContextHolder - SecurityContextHolder是Spring Security存储身份验证详细信息的地方。
SecurityContext - 从SecurityContextHolder中获得,并包含当前已验证用户的Authentication
Authentication - 包含Principal、Credentials、Authorities,Credentials是用户提供的用于身份验证的凭据
principal - 用户信息,或者说请求身份验证的主体。
credentials - 用户请求中包含的身份验证信息,身份验证成功一般会清除此信息
authorities - 用户授予用户的权限(即角色、范围等)。一般是身份验证成功后丛token解析出的用户权限信息保存在这个对象里.
AuthenticationEntryPoint - 用于发送请求客户端凭据的HTTP响应。例如,对未带身份验证信息的请求重定向到登录页面
Authorization(鉴权)设计
在身份验证通过后,权限信息(Authorities)会保存在Authentication 对象中,Spring Security提供了过滤器和各种拦截器来控制对安全对象(如方法调用或web请求)的访问。拦截器是使用AuthorizationManager 的实现类判定是否有权限调用或调用返回值是否与权限一致。
AuthorizationManager 代替了AccessDecisionManager and AccessDecisionVoter.
HTTP Requests Authorization
AuthorizationFilter 是spring Security filter chain 中默认最后的过虑器,代替了FilterSecurityInterceptor拦截器
HttpSecurity 配置时如果使用authorizeHttpRequests 那鉴权过虑器使用AuthorizationFilter,如果使用authorizeRequests鉴权过虑器使用FilterSecurityInterceptor
Method Security
Spring Security提供了各种拦截器来支持方法级安全保护。需要配置类中添加@EnableMethodSecurity 或在xml配置文中添加<method-security>
之后就可以在spring 管理类或方法上添加 @PreAuthorize, @PostAuthorize, @PreFilter, and @PostFilter 鉴权方法调用,包含入参和方法return值 。
@Secured 是遗留的选项,建议使用@PreAuthorize 代替。要使用@Secured 需要在EnableMethodSecurity注解中指定securedEnabled = true