SpringSecurity 初始化解析

2023-09-18 18:28:41

文章目录

前言

通过上文分析知道了SpringSecurity对一个请求的具体处理流程。不知道大家是否跟我一样都有几个疑问：

  1. FilterChainProxy什么时候创建的?
  2. 过滤器链和对应的过滤器什么时候创建的？
  3. 怎么把自定义的过滤器添加到过滤器链中?
  4. 请求和过滤器的匹配规则是什么?

如果有的话，本文将为你解答或消除它们。

加载SpringSecurity配置

上文提到Spring的初始化会加载解析SpringSecurity的配置文件，现在来分析下。

首先系统启动的时候会触发在 web.xml中配置的ContextLoaderListener监听器

image.png

然后会执行对应的initWebApplicationContext方法

image.png

然后进入configureAndRefreshWebApplicationContext方法中。

image.png

refresh()方法

	@Override
	public void refresh() throws BeansException, IllegalStateException {
		synchronized (this.startupShutdownMonitor) {
			// Prepare this context for refreshing.
			/**
			 * 
			 * 1、设置容器的启动时间
			 * 2、设置活跃状态为true
			 * 3、设置关闭状态为false
			 * 4、获取Environment对象，并加载当前系统的属性值到Environment对象中
			 * 5、准备监听器和事件的集合对象，默认为空的集合
			 */

			prepareRefresh();

			// Tell the subclass to refresh the internal bean factory.
			// 创建容器对象：DefaultListableBeanFactory
			// 加载xml配置文件的属性值到当前工厂中，最重要的就是BeanDefinition
			ConfigurableListableBeanFactory beanFactory = obtainFreshBeanFactory();

			// Prepare the bean factory for use in this context.
			// beanFactory的准备工作，对各种属性进行填充
			prepareBeanFactory(beanFactory);

			try {
				// Allows post-processing of the bean factory in context subclasses.
				// 子类覆盖方法做额外的处理，此处我们自己一般不做任何扩展工作，但是可以查看web中的代码，是有具体实现的
				postProcessBeanFactory(beanFactory);

				// Invoke factory processors registered as beans in the context.
				// 调用各种beanFactory处理器
				invokeBeanFactoryPostProcessors(beanFactory);

				// Register bean processors that intercept bean creation.
				// 注册bean处理器，这里只是注册功能，真正调用的是getBean方法
				registerBeanPostProcessors(beanFactory);

				// Initialize message source for this context.
				// 为上下文初始化message源，即不同语言的消息体，国际化处理,在springmvc的时候通过国际化的代码重点讲
				initMessageSource();

				// Initialize event multicaster for this context.
				// 初始化事件监听多路广播器
				initApplicationEventMulticaster();

				// Initialize other special beans in specific context subclasses.
				// 留给子类来初始化其他的bean
				onRefresh();

				// Check for listener beans and register them.
				// 在所有注册的bean中查找listener bean,注册到消息广播器中
				registerListeners();

				// Instantiate all remaining (non-lazy-init) singletons.
				// 初始化剩下的单实例（非懒加载的）
				finishBeanFactoryInitialization(beanFactory);

				// Last step: publish corresponding event.
				// 完成刷新过程，通知生命周期处理器lifecycleProcessor刷新过程，同时发出ContextRefreshEvent通知别人
				finishRefresh();
			}

			catch (BeansException ex) {
				if (logger.isWarnEnabled()) {
					logger.warn("Exception encountered during context initialization - " +
							"cancelling refresh attempt: " + ex);
				}

				// Destroy already created singletons to avoid dangling resources.
				// 为防止bean资源占用，在异常处理中，销毁已经在前面过程中生成的单件bean
				destroyBeans();

				// Reset 'active' flag.
				// 重置active标志
				cancelRefresh(ex);

				// Propagate exception to caller.
				throw ex;
			}

			finally {
				// Reset common introspection caches in Spring's core, since we
				// might not ever need metadata for singleton beans anymore...
				resetCommonCaches();
			}
		}
	}

配置文件的加载解析需要进入obtainFreshBeanFactory()方法中加载配置文件。

在这里插入图片描述

解析配置

最终会进入registerBeanDefinitions方法解析配置文件

在这里插入图片描述

parseDefaultElement方法会完成Spring中提供的默认方法解析，具体如下：

image.png

而SpringSecurity的解析是先进入import中，然后进入到parseCustomElement()方法来解析。

image.png

SpringSecurity 解析器

在SpringSecurity的配置文件中使用了几个标签。

image.png

每个标签都有对应的解析器。

在这里插入图片描述

在SecurityNamespaceHandler中的 parsers中保存的就是节点对应的解析器。

image.png

security:http 解析

解析器会先解析security:http标签了，下面的逻辑也很清晰：

  • 先判断是否合法
  • 然后获取标签名称
  • 根据标签名称获取对应的解析器
  • 然后通过解析器来解析标签

image.png

进入HttpSecurityBeanDefinitionParser中看看解析http标签做了什么事情。

	@Override
	public BeanDefinition parse(Element element, ParserContext pc) {
        // CompositeComponentDefinition  保存内嵌的BeanDefinition
		CompositeComponentDefinition compositeDef = new CompositeComponentDefinition(
				element.getTagName(), pc.extractSource(element));
	    // compositeDef定义保存在了 父容器中
		pc.pushContainingComponent(compositeDef);
		// 完成FilterChainProxy的注册
		registerFilterChainProxyIfNecessary(pc, pc.extractSource(element));

		// Obtain the filter chains and add the new chain to it
		BeanDefinition listFactoryBean = pc.getRegistry().getBeanDefinition(
				BeanIds.FILTER_CHAINS);
		List<BeanReference> filterChains = (List<BeanReference>) listFactoryBean
				.getPropertyValues().getPropertyValue("sourceList").getValue();
		// createFilterChain(element, pc) 创建对应的过滤器并添加到了filterChains这个过滤器链中
		filterChains.add(createFilterChain(element, pc));

		pc.popAndRegisterContainingComponent();
		return null;
	}

上面代码的几个关键点：

  • CompositeComponentDefinition保存配置文件中的嵌套的BeanDefinition信息
  • 完成了FilterChainProxy的注册
  • 完成了处理请求的过滤器和过滤器链的处理

FilterChainProxy的注册过程

image.png

SpringSecurity在BeanId中定义了相关的固定beanId值。

public abstract class BeanIds {
	private static final String PREFIX = "org.springframework.security.";

	/**
	 * The "global" AuthenticationManager instance, registered by the
	 * <authentication-manager> element
	 */
	public static final String AUTHENTICATION_MANAGER = PREFIX + "authenticationManager";

	/** External alias for FilterChainProxy bean, for use in web.xml files */
	public static final String SPRING_SECURITY_FILTER_CHAIN = "springSecurityFilterChain";

	public static final String CONTEXT_SOURCE_SETTING_POST_PROCESSOR = PREFIX
			+ "contextSettingPostProcessor";

	public static final String USER_DETAILS_SERVICE = PREFIX + "userDetailsService";
	public static final String USER_DETAILS_SERVICE_FACTORY = PREFIX
			+ "userDetailsServiceFactory";

	public static final String METHOD_ACCESS_MANAGER = PREFIX
			+ "defaultMethodAccessManager";

	public static final String FILTER_CHAIN_PROXY = PREFIX + "filterChainProxy";
	public static final String FILTER_CHAINS = PREFIX + "filterChains";

	public static final String METHOD_SECURITY_METADATA_SOURCE_ADVISOR = PREFIX
			+ "methodSecurityMetadataSourceAdvisor";
	public static final String EMBEDDED_APACHE_DS = PREFIX
			+ "apacheDirectoryServerContainer";
	public static final String CONTEXT_SOURCE = PREFIX + "securityContextSource";

	public static final String DEBUG_FILTER = PREFIX + "debugFilter";
}

创建 SpringSecurity 过滤器

接下来看看SpringSecurity中默认的过滤器是如何创建

image.png

private BeanReference createFilterChain(Element element, ParserContext pc) {
    // 判断是否需要Security拦截
    boolean secured = !OPT_SECURITY_NONE.equals(element.getAttribute(ATT_SECURED));

    if (!secured) {
        // 如果没配置pattern属性并且配置了request-matcher-ref为空 添加错误信息
        if (!StringUtils.hasText(element.getAttribute(ATT_PATH_PATTERN)) && !StringUtils.hasText(ATT_REQUEST_MATCHER_REF)) {
            pc.getReaderContext().error("The '" + ATT_SECURED + "' attribute must be used in combination with" + " the '" + ATT_PATH_PATTERN + "' or '" + ATT_REQUEST_MATCHER_REF + "' attributes.", pc.extractSource(element));
        }

        for (int n = 0; n < element.getChildNodes().getLength(); n++) {
            // 如果有子节点则添加错误信息
            if (element.getChildNodes().item(n) instanceof Element) {
                pc.getReaderContext().error("If you are using <http> to define an unsecured pattern, " + "it cannot contain child elements.", pc.extractSource(element));
            }
        }

        // 创建过滤器链
        return createSecurityFilterChainBean(element, pc, Collections.emptyList());
    }

    // portMapper、portResolver主要提供给SSL相关类使用
    final BeanReference portMapper = createPortMapper(element, pc);
    final BeanReference portResolver = createPortResolver(portMapper, pc);

    // 新建一个空的authenticationProviders集合 
    ManagedList<BeanReference> authenticationProviders = new ManagedList<BeanReference>();
    // 通过空的authenticationProviders集合产生一个AuthenticationManager的bean定义
    BeanReference authenticationManager = createAuthenticationManager(element, pc, authenticationProviders);

    // 是否全采用默认配置
    boolean forceAutoConfig = isDefaultHttpConfig(element);
    // 看下面
    HttpConfigurationBuilder httpBldr = new HttpConfigurationBuilder(element, forceAutoConfig, pc, portMapper, portResolver, authenticationManager);
    // 看下面
    AuthenticationConfigBuilder authBldr = new AuthenticationConfigBuilder(element, forceAutoConfig, pc, httpBldr.getSessionCreationPolicy(), httpBldr.getRequestCache(), authenticationManager, httpBldr.getSessionStrategy(), portMapper, portResolver, httpBldr.getCsrfLogoutHandler());

    // 配置logoutHandlers
    httpBldr.setLogoutHandlers(authBldr.getLogoutHandlers());
    httpBldr.setEntryPoint(authBldr.getEntryPointBean());
    httpBldr.setAccessDeniedHandler(authBldr.getAccessDeniedHandlerBean());

    // 向AuthenticationProviders中添加provider  
    authenticationProviders.addAll(authBldr.getProviders());

    List<OrderDecorator> unorderedFilterChain = new ArrayList<OrderDecorator>();

    // 向FilterChain链中添加filters  
    unorderedFilterChain.addAll(httpBldr.getFilters());
    unorderedFilterChain.addAll(authBldr.getFilters());

    // 添加自定义的Filter，也就是custom-filter标签定义的Filter  
    unorderedFilterChain.addAll(buildCustomFilterList(element, pc));

    // 对过滤器进行排序
    Collections.sort(unorderedFilterChain, new OrderComparator());
    // 校验过滤器是否有效
    checkFilterChainOrder(unorderedFilterChain, pc, pc.extractSource(element));

    // The list of filter beans
    List<BeanMetadataElement> filterChain = new ManagedList<BeanMetadataElement>();

    for (OrderDecorator od : unorderedFilterChain) {
        filterChain.add(od.bean);
    }

    // 创建SecurityFilterChain 
    return createSecurityFilterChainBean(element, pc, filterChain);
}

先看HttpConfigurationBuilder的构造方法

public HttpConfigurationBuilder(Element element, boolean addAllAuth, ParserContext pc, BeanReference portMapper, BeanReference portResolver, BeanReference authenticationManager) {
    this.httpElt = element;
    this.addAllAuth = addAllAuth;
    this.pc = pc;
    this.portMapper = portMapper;
    this.portResolver = portResolver;
    this.matcherType = MatcherType.fromElement(element);
    // 获取子标签intercept-url
    interceptUrls = DomUtils.getChildElementsByTagName(element, Elements.INTERCEPT_URL);

    for (Element urlElt : interceptUrls) {
        // 判断子标签intercept-url是否配置了filters属性
        // 如果配置了filters属性添加错误消息,因为Security已经不再支持filters属性了
        if (StringUtils.hasText(urlElt.getAttribute(ATT_FILTERS))) {
            pc.getReaderContext().error("The use of \"filters='none'\" is no longer supported. Please define a" + " separate <http> element for the pattern you want to exclude and use the attribute" + " \"security='none'\".", pc.extractSource(urlElt));
        }
    }

    // 获取标签create-session属性
    String createSession = element.getAttribute(ATT_CREATE_SESSION);

    if (StringUtils.hasText(createSession)) {
        sessionPolicy = createPolicy(createSession);
    } else {
        // 默认策略
        sessionPolicy = SessionCreationPolicy.IF_REQUIRED;
    }

    // 创建一系列过滤器
    createCsrfFilter();
    createSecurityContextPersistenceFilter();
    createSessionManagementFilters();
    createWebAsyncManagerFilter();
    createRequestCacheFilter();
    createServletApiFilter(authenticationManager);
    createJaasApiFilter();
    createChannelProcessingFilter();
    createFilterSecurityInterceptor(authenticationManager);
    createAddHeadersFilter();
}

然后进入AuthenticationConfigBuilder中来查看，发向其实也创建了很多的过滤器

public AuthenticationConfigBuilder(Element element, boolean forceAutoConfig, ParserContext pc, SessionCreationPolicy sessionPolicy, BeanReference requestCache, BeanReference authenticationManager, BeanReference sessionStrategy, BeanReference portMapper, BeanReference portResolver, BeanMetadataElement csrfLogoutHandler) {
    this.httpElt = element;
    this.pc = pc;
    this.requestCache = requestCache;
    // 是否自动配置
    autoConfig = forceAutoConfig | "true".equals(element.getAttribute(ATT_AUTO_CONFIG));
    // 是否允许session
    this.allowSessionCreation = sessionPolicy != SessionCreationPolicy.NEVER && sessionPolicy != SessionCreationPolicy.STATELESS;
    this.portMapper = portMapper;
    this.portResolver = portResolver;
    this.csrfLogoutHandler = csrfLogoutHandler;

    // 创建一系列过滤器
    createAnonymousFilter();
    createRememberMeFilter(authenticationManager);
    createBasicFilter(authenticationManager);
    createFormLoginFilter(sessionStrategy, authenticationManager);
    createOpenIDLoginFilter(sessionStrategy, authenticationManager);
    createX509Filter(authenticationManager);
    createJeeFilter(authenticationManager);
    createLogoutFilter();
    createLoginPageFilterIfNeeded();
    createUserDetailsServiceFactory();
    createExceptionTranslationFilter();
}

创建SecurityFilterChain

image.png

总结

通过以上的分析可以知道，在Spring初始化的时候根据SpringSecurity的相关配置按照其解析器将相关的过滤器加载到了Spring Bean中，在此后的请求中就可以使用到SpringSecurity相关的过滤器。

更多推荐

FL Studio21中文免费版编曲制作软件

我们都知道，FLStudio是一款非常好用的音乐编曲软件。随着商业音乐的兴起，编曲这一词汇逐渐被大家所熟知，而有些小伙伴可能也听说过编曲是由四大件进行编写的，所以今天就和大家分享一下，编曲中的四大件是什么，学编曲要先学什么。大家常听到的音乐编曲制作软件大多是Cubase、Nuendo、ProTools、SONAR等等，

【深度学习】实验12 使用PyTorch训练模型

文章目录使用PyTorch训练模型1.线性回归类2.创建数据集3.训练模型4.测试模型附：系列文章使用PyTorch训练模型PyTorch是一个基于Python的科学计算库，它是一个开源的机器学习框架，由Facebook公司于2016年开源。它提供了构建动态计算图的功能，可以更自然地使用Python语言编写深度神经网络

数据结构与算法（六）--链表的遍历，查询和修改，删除操作

一、前言上篇文章我们了解了链表的概念以及链表底层的搭建以及向链表中添加元素的操作。本次我们继续学习链表剩余的操作：遍历，查询和修改、删除操作。二、链表查询以及遍历①获得链表的第index(0-based)个位置的元素（不常用，仅做练习）和add不一样的是，add我们是要找到第Index的前一个元素，所以，我们起点从du

MyBatis 动态 SQL、MyBatis 标签、MyBatis关联查询

MyBatis动态SQL、MyBatis标签、MyBatis关联查询1、MyBatis动态sql的特性2、MyBatis标签2.1、if标签：条件判断2.2、where+if标签2.3、set标签2.4、choose(when,otherwise)语句2.5、trim2.6、MyBatisforeach标签3、整合案例

Linux内核源码分析 (B.8)深度解析 slab 内存池回收内存以及销毁全流程

Linux内核源码分析(B.8)深度解析slab内存池回收内存以及销毁全流程文章目录Linux内核源码分析(B.8)深度解析slab内存池回收内存以及销毁全流程1\.内存释放之前的校验工作2\.slabcache在快速路径下回收内存3\.slabcache在慢速路径下回收内存3.1直接释放对象回slab，调整slab相

在AOSP中根据设备特性进行个性化定制：利用getPackageManager().hasSystemFeature()接口实现

在AOSP中根据设备特性进行个性化定制：利用getPackageManager().hasSystemFeature()接口实现前言AOSP原生框架是Android开放源代码项目的一部分，它不仅支持普通手机设备，还需要针对一些特殊设备（如汽车和手表等）提供定制化的功能。由于这些特殊设备的行为方式与手机系统不完全一致，因

SpringMVC之自定义注解

目录一.JAVA注解简介1.1.Java注解分类1.2.JDK元注解二.自定义注解1.1.如何自定义注解1.2.自定义注解的基本案例1.2.1.案例一（获取类与方法上的注解值）1.2.2.案例二（获取类属性上的注解属性值）1.2.3.案例三（获取参数修饰注解对应的属性值）三.Aop自定义注解的应用好啦，今天的分享就到这

vivado乘法器IP核进行无符号与有符号数相乘问题的验证

本文验证乘法器IP核Multiplier进行无符号(unsigned)与有符号数(signed)相乘的正确性，其中也遇到了一些问题，做此记录。配套工程：https://download.csdn.net/download/weixin_48412658/88354179文章目录问题的讨论验证过程IP核配置例化乘法器仿真

MySQL迁移到达梦数据库实战(使用达梦的DTS迁移工具)

1.mysql源库授权grantselecton*.*todm_read@'%'identifiedby'password';flushprivileges;2.设置数据类型映射设置varchar按字符存储，char也改成varcharchar，（选择强制为字符存储为是，意思是mysql定义的varchar(n)或者c

Simple Factory 简单工厂模式简介与 C# 示例【创建型3.1】【设计模式来了_3.1】

〇、简介1、什么是简单工厂模式？一句话解释：客户类和工厂类严格分工，客户类只需知道怎么用，处理逻辑交给工厂类。简单工厂模式（SimpleFactoryPattern）是日常开发中常用的设计模式。其是一种简单的创建型模式，它通过一个工厂类来创建对象，客户端只需要知道如何使用工厂类，而不需要知道对象的实现细节。工厂类负责创

uni-app 实现自定义按 A~Z 排序的通讯录(字母索引导航)

创建convertPinyin.js文件convertPinyin.js将下面的内容复制粘贴到其中constpinyin=(function(){letPinyin=function(ops){this.initialize(ops);},options={checkPolyphone:false,charcase:"

热文推荐
  1. 已知我有一个表格里有编号状态和名称的列，如何转换为目标样式？

    点击上方“Python爬虫与数据挖掘”，进行关注回复“书籍”即可获赠Python从入门到进阶共10本电子书今日鸡汤此臣所以报先帝而忠陛下之职分也。大家好，我是皮皮。一、前言前几天在Python最强王者交流群【黑科技·鼓包】问了一个Python自动化办公的问题，一起来看看吧。请教一下PANDA库的问题：已知我有一个表格里

  2. 字符串（字符数组）的各种操作功能

    利用C语言编程平台以及所学的编程知识，完成以下工作：采用菜单形成，通过菜单项（1；2；3；......）等选择方式，分别实现以下对字符串（字符数组）的各种操作功能：初始化字符串（字符数组）A[],B[],C[]等，并键盘录入，要求字符串（字符数组）以’\0’为结束标志；调用自己编写的函数intlength（CharA[

  3. JS基础语法

    JS是一门面向对象的编程语言，运行在客户端的脚本语言，可以基于Node.js进行服务器端编程JS的作用:表单动态校验网页特效服务端开发浏览器执行JS：浏览器分为两部分：渲染引擎和JS引擎渲染引擎用来解析HTML和CSS，如chrome浏览器的Blink/Webkit，Firefox的Gecko。JS引擎用来读取网页的J

  4. 每日一练 | 华为认证真题练习Day1

    Day1华为认证中级考试真题1、IP报文中用Tos字段进行QOS标记，Tos字段中是使用前6bit来标记DSCP的。A.正确​B.错误2、传统的丢包策略采用尾部丢弃(Tail-Drop)的方法，这种丢弃方法会导致TCP全局同步现场。A.正确B.错误3、下列选项中，属于AgileController的业务编排的亮点的是：

  5. JavaScript函数this指向

    一、this的指向规则1.this到底指向什么呢？我们先来看一个让人困惑的问题：定义一个函数，我们采用三种不同的方式对它进行调用，它产生了三种不同的结果//定义函数functionfoo(name){console.log("foo函数:",this)}//1.方式一:直接调用//foo()//2.方式二:通过对象调起

  6. Revopoint的3D输出格式及转换工具

    在CES展会期间，许多参观者向我们询问与我们的3D扫描仪相关的问题。最常见的问题包括我们的扫描仪导出的文件格式，以及该文件是否与3D打印机兼容？因此，我们决定回答这些问题，并在本文中对常见的3D文件格式进行一些简要介绍。计算机文件记录和存储数据，包括文本、图片、视频、计算机程序或其他类型的数据。就3D文件而言，顾名思义

  7. 代理IP在各种业务情境中的应用和优势

    随着现代互联网的迅速发展，代理IP已成为一种广泛应用于各行业的网络技术。特别是在数据采集、网站建设、安全维护等领域，代理IP的应用越来越受到重视。那么，具体有哪些业务会使用到代理IP呢？我们一起来看一看。1.网络爬虫和数据采集网络爬虫和数据采集是代理IP的主要应用场景之一。大规模数据采集由于需要频繁对目标网站发送请求，

  8. Docker快速入门到项目部署，docker自定义镜像

    https://blog.csdn.net/m0_67184231/article/details/1331495792.3.自定义镜像前面我们一直在使用别人准备好的镜像，那如果我要部署一个Java项目，把它打包为一个镜像该怎么做呢？2.3.1.镜像结构要想自己构建镜像，必须先了解镜像的结构。之前我们说过，镜像之所以能

  9. 使用Jaeger进行分布式跟踪：学习如何在服务网格中使用Jaeger来监控和分析请求的跟踪信息

    🌷🍁博主猫头虎带您GotoNewWorld.✨🍁🦄博客首页——猫头虎的博客🎐🐳《面试题大全专栏》文章图文并茂🦕生动形象🦖简单易学！欢迎大家来踩踩~🌺🌊《IDEA开发秘籍专栏》学会IDEA常用操作，工作效率翻倍~💐🌊《100天精通Golang(基础入门篇）》学会Golang语言，畅玩云原生，走遍大