SpringSecurity学习笔记---SpringSecurity简介

SpringSecurity学习笔记—SpringSecurity简介

1.简介

1. Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。
2. 它是用于保护基于Spring的应用程序的实际标准。
3. Spring Security是一个框架，致力于为Java应用程序提供身份验证和授权。
4. 和所有Spring项目一样，Spring Security的真正强大之处在于可以轻松扩展以满足自定义要求.

2.SpringSecurity对比Shiro

1. Shiro是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密。如下是它所具有的特点：
   1. 易于理解的 Java Security API；
   2. 简单的身份认证（登录），支持多种数据源（LDAP，JDBC，Kerberos，ActiveDirectory等）；
   3. 对角色的简单的鉴权（访问控制），支持细粒度的鉴权；
   4. 支持一级缓存，以提升应用程序的性能；
   5. 内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；
   6. 异构客户端会话访问；
   7. 非常简单的加密 API；
   8. 不跟任何的框架或者容器捆绑，可以独立运行。
2. Spring Security：除了不能脱离Spring，shiro的功能它都有。而且Spring Security对Oauth、OpenID也有支持,Shiro则需要自己手动实现。Spring Security的权限细粒度更高。

3.SpringSecurity功能

1. 认证: 用户登录, 解决的是"你是谁?"
2. 授权: 判断用户拥有什么权限，可以访问什么资源. 解决的是"你能干什么?"
3. 安全防护，防止跨站请求，session 攻击等

4.SpringSecurity认证基本原理

1. 引入依赖

   <!--添加Spring Security 依赖 --> 
   <dependency> 
   	<groupId>org.springframework.boot</groupId> 
   	<artifactId>spring-boot-starter-security</artifactId> 
   </dependency>
   

2. 在使用SpringSecurity框架会默认自动地替我们将系统中的资源进行保护，每次访问资源的时候都必须经过一层身份的校验，如果通过了，则重定向到我们输入的url中，否则访问是要被拒绝的。
3. Spring Security功能的实现主要是由一系列过滤器相互配合完成。也称之为过滤器链

5.SpringSecurity过滤器链(过滤器是一种典型的AOP思想): Spring Security默认加载15个过滤器, 但是随着配置可以增加或者删除一些过滤器.

1. org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter根据请求封装获取WebAsyncManager，从WebAsyncManager获取/注册的安全上下文可调用处理拦截器
2. org.springframework.security.web.context.SecurityContextPersistenceFilter
   SecurityContextPersistenceFilter主要是使用SecurityContextRepository在session中保存或更新一个SecurityContext，并将SecurityContext给以后的过滤器使用，来为后续fifilter建立所需的上下文。SecurityContext中存储了当前用户的认证以及权限信息。
3. org.springframework.security.web.header.HeaderWriterFilter
   向请求的Header中添加相应的信息,可在http标签内部使用security:headers来控制
4. org.springframework.security.web.csrf.CsrfFilter
   csrf又称跨域请求伪造，SpringSecurity会对所有post请求验证是否包含系统生成的csrf的token信息，如果不包含，则报错。起到防止csrf攻击的效果。
5. org.springframework.security.web.authentication.logout.LogoutFilter
   匹配URL为/logout的请求，实现用户退出,清除认证信息。
6. org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter
   表单认证操作全靠这个过滤器，默认匹配URL为/login且必须为POST请求。
7. org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter
   如果没有在配置文件中指定认证页面，则由该过滤器生成一个默认认证页面。
8. org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter
   由此过滤器可以生产一个默认的退出登录页面
9. org.springframework.security.web.authentication.www.BasicAuthenticationFilter
   此过滤器会自动解析HTTP请求中头部名字为Authentication，且以Basic开头的头信息。
10. org.springframework.security.web.savedrequest.RequestCacheAwareFilter
    通过HttpSessionRequestCache内部维护了一个RequestCache，用于缓存HttpServletRequest
11. org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter
    针对ServletRequest进行了一次包装，使得request具有更加丰富的API
12. org.springframework.security.web.authentication.AnonymousAuthenticationFilter
    当SecurityContextHolder中认证信息为空,则会创建一个匿名用户存入到SecurityContextHolder中。spring security为了兼容未登录的访问，也走了一套认证流程，只不过是一个匿名的身份。
13. org.springframework.security.web.session.SessionManagementFilter
    securityContextRepository限制同一用户开启多个会话的数量
14. org.springframework.security.web.access.ExceptionTranslationFilter
    异常转换过滤器位于整个springSecurityFilterChain的后方，用来转换整个链路中出现的异常
15. org.springframework.security.web.access.intercept.FilterSecurityInterceptor
    获取所配置资源访问的授权信息，根据SecurityContextHolder中存储的用户信息来决定其是否有权限。