【微服务架构】SpringSecurity核心源码剖析+jwt+OAuth（五）：深入理解HttpSecurity的设计

道友老李2025-04-15 5:08

文章目录


个人主页： 道友老李
欢迎加入社区： 道友老李的学习社区

Spring Security

Spring Security 是一个功能强大且高度可配置的安全框架，用于为 Java 应用程序提供身份验证和授权功能。以下是对它的详细介绍：

核心功能

  • 身份验证：支持多种身份验证方式，如用户名 / 密码、OAuth、LDAP 等。可以方便地与各种身份验证源集成，如数据库、LDAP 目录、OAuth 提供商等。例如，在一个 Web 应用中，用户可以通过输入用户名和密码进行登录，Spring Security 会验证用户提供的凭据是否有效。
  • 授权：提供了细粒度的授权控制，可以基于角色、权限或自定义的访问规则来限制对资源的访问。比如，只有具有特定角色（如管理员）的用户才能访问某些敏感的 API 端点或页面。
  • 防止常见攻击：自动防范常见的安全漏洞，如跨站请求伪造（CSRF）、会话固定攻击、点击劫持等。

架构设计

  • 过滤器链：Spring Security 基于 Servlet 过滤器链实现，通过一系列的过滤器来处理安全相关的任务，如身份验证、授权、安全上下文管理等。每个过滤器都有特定的职责，它们协同工作以确保应用程序的安全性。
  • 安全上下文：安全上下文（Security Context）用于存储当前用户的安全信息，如用户身份、角色和权限等。在整个应用程序的执行过程中，不同的组件可以通过安全上下文来获取当前用户的相关信息，以便进行授权决策和其他安全相关的操作。

配置方式

  • Java 配置 ：通过 Java 代码进行配置，提供了一种类型安全、可维护的方式来定义安全规则和配置。例如，可以使用@Configuration和@EnableWebSecurity注解来创建一个 Spring Security 配置类，然后在类中定义各种安全配置方法。
  • XML 配置：使用 XML 文件来配置 Spring Security，这种方式在一些传统的企业级应用中较为常见。通过在 XML 文件中定义 Bean 和配置元素，可以指定身份验证提供者、授权规则、过滤器等安全相关的配置。

与其他框架集成

  • Spring Boot：Spring Security 与 Spring Boot 无缝集成，通过自动配置和起步依赖，可以快速搭建安全的 Spring Boot 应用。在 Spring Boot 应用中，只需添加相关的依赖，然后进行简单的配置，就可以启用 Spring Security 的功能。
  • Spring MVC ：与 Spring MVC 紧密集成，能够方便地对 Web 应用的控制器方法进行安全控制。可以在控制器方法上使用@PreAuthorize、@PostAuthorize等注解来定义访问权限，确保只有授权的用户才能访问相应的方法。

社区支持和资源

  • 活跃的社区：Spring Security 拥有庞大且活跃的社区，这意味着在使用过程中遇到问题时，很容易在社区论坛、Stack Overflow 等平台上找到解决方案。同时，社区也会不断地为框架的发展做出贡献，推动其功能的不断完善和更新。
  • 丰富的文档：官方提供了详细的文档，包括用户指南、API 文档等，有助于开发者快速上手和深入了解框架的各种功能。此外，还有许多第三方的书籍、博客和教程可供参考，进一步帮助开发者掌握 Spring Security 的使用。

一、HttpSecurity的应用

在前章节的介绍中我们讲解了基于配置文件的使用方式，也就是如下的使用。

也就是在配置文件中通过 security:http 等标签来定义了认证需要的相关信息，但是在SpringBoot项目中，我们慢慢脱离了xml配置文件的方式，在SpringSecurity中提供了HttpSecurity等工具类，这里HttpSecurity就等同于我们在配置文件中定义的http标签。要使用的话方式如下。

通过代码结果来看和配置文件的效果是一样的。基于配置文件的方式我们之前分析过，是通过标签对应的handler来解析处理的，那么HttpSecurity这块是如何处理的呢？我们来详细分析下。

二、HttpSecurity的类图结构

可以看出HttpSecurity的类图结构相对比较简单，继承了一个父类，实现了两个接口。我们分别来看看他们的作用是什么？

1.SecurityBuilder接口

我们先来看看SecurityBuilder接口，通过字面含义我们就可以发现这是一个帮我们创建对象的工具类。

java 复制代码 
public interface SecurityBuilder<O> {

	/**
	 * Builds the object and returns it or null.
	 * @return the Object to be built or null if the implementation allows it.
	 * @throws Exception if an error occurred when building the Object
	 */
	O build() throws Exception;

}

通过源码我们可以看到在SecurityBuilder中给我们提供了一个build()方法。在接口名称处声明了一个泛型，而build()方法返回的正好是这个泛型的对象，其实就很好理解了，也就是SecurityBuilder会创建指定类型的对象。结合HttpSecurity中实现SecurityBuilder接口时指定的泛型我们可以看出创建的具体对象是什么类型。

可以看出SecurityBuilder会通过build方法给我们创建一个DefaultSecurityFilterChain对象。也就是拦截请求的那个默认的过滤器链对象。

然后进入到doBuild()方法，会进入到AbstractConfiguredSecurityBuilder中的方法

java 复制代码 
	@Override
	protected final O doBuild() throws Exception {
		synchronized (this.configurers) {
			this.buildState = BuildState.INITIALIZING;
			beforeInit();
			init();
			this.buildState = BuildState.CONFIGURING;
			beforeConfigure();
			configure();
			this.buildState = BuildState.BUILDING;
	 		// 获取构建的对象，上面的方法可以先忽略
			O result = performBuild();
			this.buildState = BuildState.BUILT;
			return result;
		}
	}

进入到HttpSecurity中可以查看performBuild()方法的具体实现。

java 复制代码 
	@Override
	protected DefaultSecurityFilterChain performBuild() {
        // 对所有的过滤器做排序
		this.filters.sort(OrderComparator.INSTANCE);
		List<Filter> sortedFilters = new ArrayList<>(this.filters.size());
		for (Filter filter : this.filters) {
			sortedFilters.add(((OrderedFilter) filter).filter);
		}
		// 然后生成 DefaultSecurityFilterChain
		return new DefaultSecurityFilterChain(this.requestMatcher, sortedFilters);
	}

在构造方法中绑定了对应的请求匹配器和过滤器集合。

对应的请求匹配器则是 AnyRequestMatcher 匹配所有的请求。当然我们会比较关心默认的过滤器链中的过滤器是哪来的，这块儿我们继续来分析。

2.AbstractConfiguredSecurityBuilder

然后我们再来看看AbstractConfiguredSecurityBuilder这个抽象类，他其实是SecurityBuilder的实现，在这儿需要搞清楚他们的关系。

类型 作用
SecurityBuilder 声明了build方法
AbstractSecurityBuilder 提供了获取对象的方法以及控制一个对象只能build一次
AbstractConfiguredSecurityBuilder 除了提供对对象细粒度的控制外还扩展了对configurer的操作

然后对应的三个实现类。

首先 AbstractConfiguredSecurityBuilder 中定义了一个枚举类，将整个构建过程分为 5 种状态，也可

以理解为构建过程生命周期的五个阶段，如下：

java 复制代码 
private enum BuildState {

		/**
		 * 还没开始构建
		 */
		UNBUILT(0),

		/**
		 * 构建中
		 */
		INITIALIZING(1),

		/**
		 * 配置中
		 */
		CONFIGURING(2),

		/**
		 * 构建中
		 */
		BUILDING(3),

		/**
		 * 构建完成
		 */
		BUILT(4);

		private final int order;

		BuildState(int order) {
			this.order = order;
		}

		public boolean isInitializing() {
			return INITIALIZING.order == this.order;
		}

		/**
		 * Determines if the state is CONFIGURING or later
		 * @return
		 */
		public boolean isConfigured() {
			return this.order >= CONFIGURING.order;
		}

	}

通过这些状态来管理需要构建的对象的不同阶段。

2.1 add方法

AbstractConfiguredSecurityBuilder中方法概览

我们先来看看add方法。

java 复制代码 
private <C extends SecurityConfigurer<O, B>> void add(C configurer) {
		Assert.notNull(configurer, "configurer cannot be null");
		Class<? extends SecurityConfigurer<O, B>> clazz = (Class<? extends SecurityConfigurer<O, B>>) configurer
				.getClass();
		synchronized (this.configurers) {
			if (this.buildState.isConfigured()) {
				throw new IllegalStateException("Cannot apply " + configurer + " to already built object");
			}
			List<SecurityConfigurer<O, B>> configs = null;
			if (this.allowConfigurersOfSameType) {
				configs = this.configurers.get(clazz);
			}
			configs = (configs != null) ? configs : new ArrayList<>(1);
			configs.add(configurer);
			this.configurers.put(clazz, configs);
			if (this.buildState.isInitializing()) {
				this.configurersAddedInInitializing.add(configurer);
			}
		}
	}

	/**
	 * Gets all the {@link SecurityConfigurer} instances by its class name or an empty
	 * List if not found. Note that object hierarchies are not considered.
	 * @param clazz the {@link SecurityConfigurer} class to look for
	 * @return a list of {@link SecurityConfigurer}s for further customization
	 */
	@SuppressWarnings("unchecked")
	public <C extends SecurityConfigurer<O, B>> List<C> getConfigurers(Class<C> clazz) {
		List<C> configs = (List<C>) this.configurers.get(clazz);
		if (configs == null) {
			return new ArrayList<>();
		}
		return new ArrayList<>(configs);
	}

add 方法，这相当于是在收集所有的配置类。将所有的 xxxConfigure 收集起来存储到 configurers

中，将来再统一初始化并配置，configurers 本身是一个 LinkedHashMap ，key 是配置类的 class，

value 是一个集合，集合里边放着 xxxConfigure 配置类。当需要对这些配置类进行集中配置的时候，

会通过 getConfigurers 方法获取配置类，这个获取过程就是把 LinkedHashMap 中的 value 拿出来，

放到一个集合中返回。

2.2 doBuild方法

然后来看看doBuild方法中的代码

java 复制代码 
 	@Override
	protected final O doBuild() throws Exception {
		synchronized (this.configurers) {
			this.buildState = BuildState.INITIALIZING;
			beforeInit(); //是一个预留方法，没有任何实现
			init(); // 就是找到所有的 xxxConfigure，挨个调用其 init 方法进行初始化
			this.buildState = BuildState.CONFIGURING;
			beforeConfigure(); // 是一个预留方法，没有任何实现
			configure(); // 就是找到所有的 xxxConfigure，挨个调用其 configure 方法进行配置。
			this.buildState = BuildState.BUILDING;
			O result = performBuild();
// 是真正的过滤器链构建方法，但是在 AbstractConfiguredSecurityBuilder中 performBuild 方法只是一个抽象方法，具体的实现在 HttpSecurity 中
			this.buildState = BuildState.BUILT;
			return result;
		}
	}

init方法:完成所有相关过滤器的初始化

复制代码 
	private void init() throws Exception {
		Collection<SecurityConfigurer<O, B>> configurers = getConfigurers();
		for (SecurityConfigurer<O, B> configurer : configurers) {
			configurer.init((B) this); // 初始化对应的过滤器
		}
		for (SecurityConfigurer<O, B> configurer : this.configurersAddedInInitializing) {
			configurer.init((B) this);
		}
	}

configure方法：完成HttpSecurity和对应的过滤器的绑定。

java 复制代码 
	private void configure() throws Exception {
		Collection<SecurityConfigurer<O, B>> configurers = getConfigurers();
		for (SecurityConfigurer<O, B> configurer : configurers) {
			configurer.configure((B) this);
		}
	}

3.HttpSecurity

HttpSecurity 做的事情，就是进行各种各样的 xxxConfigurer 配置

HttpSecurity 中有大量类似的方法，过滤器链中的过滤器就是这样一个一个配置的。我们就不一一介绍

了。每个配置方法的结尾都会来一句 getOrApply，这个是干嘛的？我们来看下

java 复制代码 
	private <C extends SecurityConfigurerAdapter<DefaultSecurityFilterChain, HttpSecurity>> C getOrApply(C configurer)
			throws Exception {
		C existingConfig = (C) getConfigurer(configurer.getClass());
		if (existingConfig != null) {
			return existingConfig;
		}
		return apply(configurer);
	}

getConfigurer 方法是在它的父类 AbstractConfiguredSecurityBuilder 中定义的，目的就是去查看当前

这个 xxxConfigurer 是否已经配置过了。

如果当前 xxxConfigurer 已经配置过了，则直接返回，否则调用 apply 方法，这个 apply 方法最终会调

用到 AbstractConfiguredSecurityBuilder#add 方法，将当前配置 configurer 收集起来

HttpSecurity 中还有一个 addFilter 方法.

java 复制代码 
	@Override
	public HttpSecurity addFilter(Filter filter) {
		Integer order = this.filterOrders.getOrder(filter.getClass());
		if (order == null) {
			throw new IllegalArgumentException("The Filter class " + filter.getClass().getName()
					+ " does not have a registered order and cannot be added without a specified order. Consider using addFilterBefore or addFilterAfter instead.");
		}
		this.filters.add(new OrderedFilter(filter, order));
		return this;
	}

这个 addFilter 方法的作用，主要是在各个 xxxConfigurer 进行配置的时候，会调用到这个方法，

（xxxConfigurer 就是用来配置过滤器的），把 Filter 都添加到 fitlers 变量中。

小结：这就是 HttpSecurity 的一个大致工作流程。把握住了这个工作流程，剩下的就只是一些简单的重

复的 xxxConfigurer 配置了

相关推荐
uhakadotcom1 小时前
Langflow 1.3.0 安全漏洞详解及利用示例，教你如何防范远程代码执行攻击
面试·架构·github
Wgllss1 小时前
Android下载进度百分比按钮，Compose轻松秒杀实现
android·架构·android jetpack
极客先躯1 小时前
高级java每日一道面试题-2025年4月08日-微服务篇[Nacos篇]-生产环境中部署Nacos的最佳实践有哪些？
java·开发语言·微服务
season_zhu1 小时前
iOS开发：关于Model
ios·架构·swift
某酱2 小时前
记录nezha agent的配置修改过程（密钥、API等）
架构
AronTing3 小时前
07-云原生安全深度剖析：从 Kubernetes 集群防护到微服务安全加固
spring·微服务·架构
九龙湖兔兔3 小时前
pnpm给插件(naiveUI)打补丁
前端·架构
知心宝贝3 小时前
【Nest.js 通关秘籍 - 基础篇】带你轻松掌握后端开发
前端·javascript·架构
AronTing3 小时前
08-Sentinel 深度解析：从流量控制原理到生产级熔断实战
面试·架构·掘金·金石计划
MrWho不迷糊4 小时前
Spring Boot 怎么打印日志
spring boot·后端·微服务
热门推荐
01我决定放弃搞 Java 了02RAG 实践- Ollama+RagFlow 部署本地知识库03DeepSeek各版本说明与优缺点分析04Scipy||第三章 线性代数 (scipy.linalg)05DeepSeek RAGFlow构建本地知识库系统06如何在WPS和Word/Excel中直接使用DeepSeek功能07汽车上的各种质量：整备质量、总质量、装载质量、簧上质量、簧下质量08从零安装 LLaMA-Factory 微调 Qwen 大模型成功及所有的坑09本地化部署AI知识库：基于Ollama+DeepSeek+AnythingLLM保姆级教程10C#/.NET/.NET Core技术前沿周刊 | 第 34 期（2025年4.7-4.13）