SpringSecurity学习笔记—SpringSecurity简介

1.简介

  1. Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。
  2. 它是用于保护基于Spring的应用程序的实际标准。
  3. Spring Security是一个框架，致力于为Java应用程序提供身份验证和授权。
  4. 和所有Spring项目一样，Spring Security的真正强大之处在于可以轻松扩展以满足自定义要求.

2.SpringSecurity对比Shiro

  1. Shiro是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密。如下是它所具有的特点：
  1. 易于理解的 Java Security API；
  2. 简单的身份认证（登录），支持多种数据源（LDAP，JDBC，Kerberos，ActiveDirectory等）；
  3. 对角色的简单的鉴权（访问控制），支持细粒度的鉴权；
  4. 支持一级缓存，以提升应用程序的性能；
  5. 内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；
  6. 异构客户端会话访问；
  7. 非常简单的加密 API；
  8. 不跟任何的框架或者容器捆绑，可以独立运行。
  1. Spring Security：除了不能脱离Spring，shiro的功能它都有。而且Spring Security对Oauth、OpenID也有支持,Shiro则需要自己手动实现。Spring Security的权限细粒度更高。

3.SpringSecurity功能

  1. 认证: 用户登录, 解决的是"你是谁?"
  2. 授权: 判断用户拥有什么权限，可以访问什么资源. 解决的是"你能干什么?"
  3. 安全防护，防止跨站请求，session 攻击等

4.SpringSecurity认证基本原理

  1. 引入依赖
<!--添加Spring Security 依赖 --> 
<dependency> 
	<groupId>org.springframework.boot</groupId> 
	<artifactId>spring-boot-starter-security</artifactId> 
</dependency>
  1. 在使用SpringSecurity框架会默认自动地替我们将系统中的资源进行保护，每次访问资源的时候都必须经过一层身份的校验，如果通过了，则重定向到我们输入的url中，否则访问是要被拒绝的。
  2. Spring Security功能的实现主要是由一系列过滤器相互配合完成。也称之为过滤器链

5.SpringSecurity过滤器链(过滤器是一种典型的AOP思想): Spring Security默认加载15个过滤器, 但是随着配置可以增加或者删除一些过滤器.

  1. org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter根据请求封装获取WebAsyncManager，从WebAsyncManager获取/注册的安全上下文可调用处理拦截器
  2. org.springframework.security.web.context.SecurityContextPersistenceFilter SecurityContextPersistenceFilter主要是使用SecurityContextRepository在session中保存或更新一个SecurityContext，并将SecurityContext给以后的过滤器使用，来为后续fifilter建立所需的上下文。SecurityContext中存储了当前用户的认证以及权限信息。
  3. org.springframework.security.web.header.HeaderWriterFilter 向请求的Header中添加相应的信息,可在http标签内部使用security:headers来控制
  4. org.springframework.security.web.csrf.CsrfFilter csrf又称跨域请求伪造，SpringSecurity会对所有post请求验证是否包含系统生成的csrf的token信息，如果不包含，则报错。起到防止csrf攻击的效果。
  5. org.springframework.security.web.authentication.logout.LogoutFilter 匹配URL为/logout的请求，实现用户退出,清除认证信息。
  6. org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter 表单认证操作全靠这个过滤器，默认匹配URL为/login且必须为POST请求。
  7. org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter 如果没有在配置文件中指定认证页面，则由该过滤器生成一个默认认证页面。
  8. org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter 由此过滤器可以生产一个默认的退出登录页面
  9. org.springframework.security.web.authentication.www.BasicAuthenticationFilter 此过滤器会自动解析HTTP请求中头部名字为Authentication，且以Basic开头的头信息。
  10. org.springframework.security.web.savedrequest.RequestCacheAwareFilter 通过HttpSessionRequestCache内部维护了一个RequestCache，用于缓存HttpServletRequest
  11. org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter 针对ServletRequest进行了一次包装，使得request具有更加丰富的API
  12. org.springframework.security.web.authentication.AnonymousAuthenticationFilter 当SecurityContextHolder中认证信息为空,则会创建一个匿名用户存入到SecurityContextHolder中。spring security为了兼容未登录的访问，也走了一套认证流程，只不过是一个匿名的身份。
  13. org.springframework.security.web.session.SessionManagementFilter securityContextRepository限制同一用户开启多个会话的数量
  14. org.springframework.security.web.access.ExceptionTranslationFilter 异常转换过滤器位于整个springSecurityFilterChain的后方，用来转换整个链路中出现的异常
  15. org.springframework.security.web.access.intercept.FilterSecurityInterceptor 获取所配置资源访问的授权信息，根据SecurityContextHolder中存储的用户信息来决定其是否有权限。