推薦閱讀

前言

在“碼農(nóng)小胖哥”的文章中提到一個關(guān)鍵的過濾器鏈SecurityFilterChain，當(dāng)一個請求 HttpServletRequest 進入 SecurityFilterChain 時，會通過 matches 方法來確定是否滿足條件進入過濾器鏈，進而決定請求應(yīng)該執(zhí)行哪些過濾器。下面我們自己來梳理一遍。

請求執(zhí)行鏈路

我們以之前的文章為例，使用@Configuration配置了一個SecurityFilterChain Bean，能在Spring Boot 啟動的時候創(chuàng)建SecurityFilterChain Bean到Sping。

@Configuration
public class OAuth2LoginConfig 
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(authorize -> authorize
                        .anyRequest().authenticated()
                )
                .oauth2Login(withDefaults());
        return http.build();
    }

這是官網(wǎng)的配置，說明任何請求都可以通過OAuth2來登錄。上面說過任何請求都會經(jīng)過SecurityFilterChain 的matches方法，因此我們可以在SecurityFilterChain 的唯一實現(xiàn)類DefaultSecurityFilterChain的matches方法中打上斷點（圖1），這樣當(dāng)進入斷點的時候，可以直觀的從IDE中看到調(diào)用棧，這是調(diào)式源碼的時候一個非常有用的方法。

圖1

啟動應(yīng)用，請求一個接口localhost:8080/hello,進入端點后的調(diào)用棧如圖：

圖2

圖中箭頭所指的DelegatingFilterProxy為Spring提供的一個標(biāo)準(zhǔn)的Servlet Filter代理，在xml的Spring時代，為了能使用Spring Security，需要在web.xml中添加該過濾器，而在Spring Boot中，Spring Boot的自動配置已經(jīng)幫我們搞定，具體可見SecurityFilterAutoConfiguration。

箭頭前面一部分是其他的幾個Servlet Filter，我們不做了解。

箭頭后面的部分，即DelegatingFilterProxy之后，依次執(zhí)行了FilterChainProxy和DefaultSecurityFilterChain

FilterChainProxy是一個過濾器鏈代理類，內(nèi)部保存了過濾器鏈列表，而過濾器鏈內(nèi)部又具有各種過濾器，如圖3。
DefaultSecurityFilterChain是SecurityFilterChain的默認(rèn)實現(xiàn)

到此為止，我們的第一個問題“請求執(zhí)行鏈路”基本已經(jīng)清晰了，即DelegatingFilterProxy >> FilterChainProxy >> SecurityFilterChain >> Filter

圖3

到此這篇關(guān)于Spring Security的過濾器鏈機制的文章就介紹到這了,更多相關(guān)Spring Security過濾器鏈內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評論