SpringSecurity 七 HttpSecurity

前言

之前的文章分析了WebSecurityConfigurerAdapter，这次分析下HttpSecurity。

一、HttpSecurity是什么？

1.1 定义：

HttpSecurity类似于命名空间配置中 Spring Security 的 XML 元素。 它允许为特定的 http 请求配置基于 Web 的安全性。 默认情况下，它将应用于所有请求，但可以使用requestMatcher(RequestMatcher)或其他类似方法进行限制。

1.2 类图：

public final class HttpSecurity extends AbstractConfiguredSecurityBuilder<DefaultSecurityFilterChain, HttpSecurity>
		implements SecurityBuilder<DefaultSecurityFilterChain>, HttpSecurityBuilder<HttpSecurity> {
		// ....
}

可以看到，HttpSecurity 继承自 AbstractConfiguredSecurityBuilder，同时实现了 SecurityBuilder 和 HttpSecurityBuilder 两个接口。
实现的接口中有两个泛型，一个是HttpSecurity，另一个是DefaultSecurityFilterChain。

1.3 DefaultSecurityFilterChain

public final class DefaultSecurityFilterChain implements SecurityFilterChain {

	private static final Log logger = LogFactory.getLog(DefaultSecurityFilterChain.class);

	private final RequestMatcher requestMatcher;

	private final List<Filter> filters;

	public DefaultSecurityFilterChain(RequestMatcher requestMatcher, Filter... filters) {
		this(requestMatcher, Arrays.asList(filters));
	}

	public DefaultSecurityFilterChain(RequestMatcher requestMatcher, List<Filter> filters) {
		logger.info(LogMessage.format("Will secure %s with %s", requestMatcher, filters));
		this.requestMatcher = requestMatcher;
		this.filters = new ArrayList<>(filters);
	}

	public RequestMatcher getRequestMatcher() {
		return this.requestMatcher;
	}

	@Override
	public List<Filter> getFilters() {
		return this.filters;
	}

	@Override
	public boolean matches(HttpServletRequest request) {
		return this.requestMatcher.matches(request);
	}

	@Override
	public String toString() {
		return this.getClass().getSimpleName() + " [RequestMatcher=" + this.requestMatcher + ", Filters=" + this.filters
				+ "]";
	}

}

DefaultSecurityFilterChain的源码如上，它实现了SecurityFilterChain接口中定义的两个方法：

• maches()：用来匹配请求
• getFilters()：返回一个 List 集合，集合中放着 Filter 对象。

当一个请求到来时，用 matches 方法去比较请求是否和当前链吻合，如果吻合，就返回 getFilters 方法中的过滤器，那么当前请求会逐个经过 List 集合中的过滤器。
DefaultSecurityFilterChain 其实就相当于是 Spring Security 中的过滤器链，一个 DefaultSecurityFilterChain 代表一个过滤器链，如果系统中存在多个过滤器链，则会存在多个 DefaultSecurityFilterChain 对象。

1.4 HttpSecurity的performBuild方法

通过上篇文章对WebSecurity的分析，我们可以了解到，在实现了AbstractConfiguredSecurityBuilder的接口，最终调用的是performBuild方法。

	@Override
	protected DefaultSecurityFilterChain performBuild() {
		this.filters.sort(OrderComparator.INSTANCE);
		List<Filter> sortedFilters = new ArrayList<>(this.filters.size());
		for (Filter filter : this.filters) {
			sortedFilters.add(((OrderedFilter) filter).filter);
		}
		return new DefaultSecurityFilterChain(this.requestMatcher, sortedFilters);
	}

先给已经维护好的filters排序，然后调用DefaultSecurityFilterChain的构造，返回DefaultSecurityFilterChain对象。

1.5 HttpSecurity常用的方法