spring security中WebSecurityCustomizer的使用

`WebSecurityCustomizer` 是 Spring Security 5.0 引入的一个接口，用于配置 Spring Security 过滤器的自定义行为。它主要用于提供一种简便的方式来定制 Web 应用程序的安全性设置。

1. `WebSecurityCustomizer` 概述

`WebSecurityCustomizer` 的主要作用是定制 Spring Security 的过滤器链。它允许你针对不同的请求路径或条件配置不同的安全设置，从而实现更细粒度的控制。

2. `WebSecurityCustomizer` 的作用

`WebSecurityCustomizer` 主要有以下几个作用：
- **自定义请求路径**：可以指定某些请求路径不经过 Spring Security 的过滤器链处理。
- **配置默认的安全设置**：可以设置默认的安全配置，例如哪些路径是公开的，哪些路径需要认证等。
- **增加或修改过滤器**：可以在 Spring Security 过滤器链中增加自定义的过滤器，或修改现有的过滤器配置。

3. 使用 `WebSecurityCustomizer`

在 Spring Security 5.0 及以上版本中，可以通过实现 `WebSecurityCustomizer` 接口来自定义安全设置。具体步骤如下：

#### 3.1 创建 `WebSecurityCustomizer` Bean

首先，你需要创建一个实现了 `WebSecurityCustomizer` 接口的 Bean。以下是一个简单的示例：```java

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurityCustomizer;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return new WebSecurityCustomizer() {
            @Override
            public void customize(HttpSecurity http) throws Exception {
                // Define custom security settings here
                http
                    .authorizeRequests()
                        .antMatchers("/public/**").permitAll() // Public access
                        .anyRequest().authenticated(); // All other requests require authentication
            }
        };
    }
}

```

#### 3.2 配置过滤器链

你可以通过配置过滤器链来决定哪些请求路径需要经过安全检查，哪些不需要。例如，可以设置某些静态资源或公开 API 不经过安全过滤器：```java

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll() // Public paths
                .anyRequest().authenticated(); // All other paths require authentication
    }
}

```

#### 3.3 使用 Lambda 表达式配置（Spring Security 5.0+）

在 Spring Security 5.0 及以上版本中，你可以使用 lambda 表达式来进行更简洁的配置：```java

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests(authorizeRequests ->
                authorizeRequests
                    .antMatchers("/public/**").permitAll() // Public access
                    .anyRequest().authenticated() // All other requests require authentication
            );
    }
}

```

4. 注意事项

- **顺序问题**：`WebSecurityCustomizer` 的配置会影响到整个过滤器链的行为，因此需要谨慎配置，以确保不会意外地暴露或保护某些请求。
- **版本兼容性**：确保你使用的 Spring Security 版本支持 `WebSecurityCustomizer`，因为一些功能可能在不同的版本中有所变化。

总的来说，`WebSecurityCustomizer` 是一个强大且灵活的工具，用于细化 Spring Security 的配置，使你可以根据具体需求定制应用程序的安全设置。