在线午夜精品自拍小视频_无码av无码专区线_亚洲无码精品人妻_人人澡欧美一区

Spring Security 實戰(zhàn)干貨：自定義配置類入口WebSecurityConfigurerAdapter

文章目錄

• • 1. 前言
  • 2. 自定義 Spring Boot Web 安全配置類
  • • 2.1 認證管理器配置方法
    • 2.2 核心過濾器配置方法
    • 2.3 安全過濾器鏈配置方法
  • 3. HttpSecurity 配置
  • • 3.1 默認配置
    • 3.2 常用方法解讀
  • 4. 總結(jié)

1. 前言

今天我們要進一步的的學習如何自定義配置 Spring Security 我們已經(jīng)多次提到了 WebSecurityConfigurerAdapter ，而且我們知道 Spring Boot 中的自動配置實際上是通過自動配置包下的 SecurityAutoConfiguration 總配置類上導入的 Spring Boot Web 安全配置類 SpringBootWebSecurityConfiguration 來配置的。所以我們就拿它開刀。如果還是一頭霧水建議通過 https://felord.cn 查看 Spring Security 實戰(zhàn) 。

2. 自定義 Spring Boot Web 安全配置類

我們使用我們最擅長的 Ctrl C 、Ctrl V 抄源碼中的 SpringBootWebSecurityConfiguration ，命名為我們自定義的 CustomSpringBootWebSecurityConfiguration :

  @Configuration
  @ConditionalOnClass(WebSecurityConfigurerAdapter.class)
  @ConditionalOnWebApplication(type = ConditionalOnWebApplication.Type.SERVLET)
  public class CustomSpringBootWebSecurityConfiguration {
  
      @Configuration
      @Order(SecurityProperties.BASIC_AUTH_ORDER)
      static class DefaultConfigurerAdapter extends WebSecurityConfigurerAdapter {
          @Override
          protected void configure(AuthenticationManagerBuilder auth) throws Exception {
              super.configure(auth);
          }
  
          @Override
          public void configure(WebSecurity web) throws Exception {
              super.configure(web);
          }
  
          @Override
          protected void configure(HttpSecurity http) throws Exception {
              super.configure(http);
          }
      }
  }

相信已經(jīng)有人注意到了上面 DefaultConfigurerAdapter 中我覆寫（@Override）了三個方法，我們一般會通過自定義配置這三個方法來自定義我們的安全訪問策略。

2.1 認證管理器配置方法

void configure(AuthenticationManagerBuilder auth) 用來配置認證管理器AuthenticationManager。說白了就是所有 UserDetails 相關(guān)的它都管，包含 PasswordEncoder 密碼機。如果你不清楚可以通過 Spring Security 中的 UserDetail 進行了解。本文對 AuthenticationManager 不做具體分析講解，后面會有專門的文章來講這個東西 。 可通過 Spring Security 實戰(zhàn)系列 進行學習。

2.2 核心過濾器配置方法

void configure(WebSecurity web) 用來配置 WebSecurity 。而 WebSecurity 是基于 Servlet Filter 用來配置 springSecurityFilterChain 。而 springSecurityFilterChain 又被委托給了 Spring Security 核心過濾器 Bean DelegatingFilterProxy 。 相關(guān)邏輯你可以在 WebSecurityConfiguration 中找到。我們一般不會過多來自定義 WebSecurity , 使用較多的使其ignoring() 方法用來忽略 Spring Security 對靜態(tài)資源的控制。

2.3 安全過濾器鏈配置方法

void configure(HttpSecurity http) 這個是我們使用最多的，用來配置 HttpSecurity 。 HttpSecurity 用于構(gòu)建一個安全過濾器鏈 SecurityFilterChain 。SecurityFilterChain 最終被注入核心過濾器 。 HttpSecurity 有許多我們需要的配置。我們可以通過它來進行自定義安全訪問策略。所以我們單獨開一章來講解這個東西。

3. HttpSecurity 配置

HttpSecurity 是后面幾篇文章的重點，我們將實際操作它來實現(xiàn)一些實用功能。所以本文要著重介紹它。

3.1 默認配置

 	protected void configure(HttpSecurity http) throws Exception {
 		logger.debug("Using default configure(HttpSecurity). If subclassed this will potentially override subclass configure(HttpSecurity).");
 
 		http
 			.authorizeRequests()
 				.anyRequest().authenticated()
 				.and()
 			.formLogin().and()
 			.httpBasic();
 	}

上面是 Spring Security 在 Spring Boot 中的默認配置。通過以上的配置，你的應用具備了一下的功能：

• 所有的請求訪問都需要被授權(quán)。
• 使用 form 表單進行登陸(默認路徑為/login)，也就是前幾篇我們見到的登錄頁。
• 防止 CSRF 攻擊、 XSS 攻擊。
• 啟用 HTTP Basic 認證

3.2 常用方法解讀

HttpSecurity 使用了builder 的構(gòu)建方式來靈活制定訪問策略。最早基于 XML 標簽對 HttpSecurity 進行配置?，F(xiàn)在大部分使用 javaConfig方式。常用的方法解讀如下：

4. 總結(jié)

到今天為止，我們已經(jīng)由淺入深學習了很多關(guān)于 Spring Security 的知識。已經(jīng)具有開始自定義來實現(xiàn)一些實用的功能了，在后面的文章開始我們將結(jié)合實際開發(fā)場景進行一些實戰(zhàn)操作。敬請關(guān)注公眾號：Felordcn 以第一時間獲取相關(guān)教程。

作者：碼農(nóng)小胖哥

歡迎關(guān)注：碼農(nóng)小胖哥