Spring Security Filter详解

Spring Security Filter详解

汇总

Filter	作用
DelegatingFilterProxy	Spring Security基于这个Filter建立拦截机制
AbstractAuthenticationProcessingFilter	获取用户提供的信息并创建一个部分完整的 Authentication 对象来传递凭证信息
AbstractSecurityInterceptor	(最后一个filter)判断一个请求是被允许还是被拒绝
LogoutFilter	退出登录处理

DelegatingFilterProxy

• 要使用security必须先配置这个filter
• 这个filter是Spring框架提供的,并不是security特有
• Security使用这个filter来包装所有的应用请求

<!--web.xml-->
<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filterclass>
    org.springframework.web.filter.DelegatingFilterProxy </filter-class>
</filter>
<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

---

(Abstract)AbstractAuthenticationProcessingFilter

获取用户提供的信息并创建一个部分完整的 Authentication 对象来传递凭证信息

实现类 - UsernamePasswordAuthenticationFilter

继承树

UsernamePasswordAuthenticationFilter extends AbstractAuthenticationProcessingFilter
    [注入](Interface)AuthenticationManager
    [实现类]ProviderManager implements AuthenticationManager
            [注入](Interface) AuthenticationProvider
            [实现类]DaoAuthenticationProvider implements AuthenticationProvider
                    [注入]UserDetailsService
                    [实现类]InMemoryDaoImpl implements UserDetailsService

作用描述

• ProviderManager 注入 UserDetails 获取 o.s.s.core.userdetails.UserDetails (用户信息)
• AuthenticationManager 校验用户的凭证信息，用户无效会抛出一个特定的异常 成功会补全Authentication的信息(如权限信息)

作用流程

(AbstractAuthenticationProcessingFilter)       （ j_spring_security_check）
UsernamePasswordAuthenticationFilter        →      拦截到用户登录
                                                创建一个 Authentication
                                         (UsernamePasswordAuthenticationToken)
                                                    ↓
                                            (AuthenticationManager)
                                                ProviderManager
                                                    ↓   获取并且验证用户信息
                                            (AuthenticationProvider)
                                            DaoAuthenticationProvider
                                                    ↓   获取合法用户信息
                                            （UserDetailsService）
                                                InMemoryDaoImpl
                                                    ↓   查询合法用户信息
                                                Memory Store

配置authenticationManager

<!--org.springframework.security.authentication.ProviderManager-->
<authentication-manager alias="authenticationManager">
    <!-- o.s.s.authentication.dao.DaoAuthenticationProvider-->
    <authentication-provider>
        <!-- o.s.s.core.userdetails.memory.InMemoryDaoImpl  -->
        <user-service>
            <user authorities="ROLE_USER" name="guest" password="guest"/>
        </user-service>
    </authentication-provider>
</authentication-manager>

---

(Abstract)AbstractSecurityInterceptor

判断一个请求是被允许还是被拒绝

• 最后一个servelt 过滤器
• 通过DefaultFilterInvocationSecurityMetadataSource获取需要的权限列表（ConfigAttribute）
• 委托一个AccessDecisionManager完成授权的判断

实现类 - FilterSecurityInterceptor extends AbstractSecurityInterceptor

作用流程

    //访问资源（即授权管理）
    user request url
        ↓
    (AbstractSecurityInterceptor)
      FilterSecurityInterceptor
        ↓（获取配置的权限信息）
    FilterInvocationSecurityMetadataSource
        ↓(委托一个AccessDecisionManager完成授权的判断)
    AccessDecisionManager(需要获取AccessDecisionVoters)
        ↓
    返回决策结果

(Interface)o.s.s.access.AccessDecisionManager

• 提供了一个基于AccessDecisionVoter 接口和投票集合的授权机制。
• supports：这个逻辑操作实际上包含两个方法，它们允许AccessDecisionManager 的实现
  类判断是否支持当前的请求。
• decide：基于请求的上下文和安全配置，允许AccessDecisionManager 去核实访问是否被
  允许以及请求是否能够被接受。decide 方法实际上没有返回值，通过抛出异常来表明对
  请求访问的拒绝。

AbstractAccessDecisionManager implements AccessDecisionManager

AbstractAccessDecisionManager 实现类

org.springframework.security.access.vote.UnanimousBased
所有的投票器必须全是允许的，否则访问将被拒绝

org.springframework.security.access.vote.AffirmativeBased
如果有任何一个投票器允许访问，请求将被立刻允许

org.springframework.security.access.vote.ConsensusBased
多数票决定

配置

<http auto-config="true" access-decision-manager-ref="unanimousBased" >
<!--AccessDecisionManager-->
<bean class="org.springframework.security.access.vote.UnanimousBased" id="unanimousBased">
    <property name="decisionVoters">
        <list>
            <ref bean="roleVoter"/>
            <ref bean="authenticatedVoter"/>
        </list>
    </property>
</bean>
<!-- 检查用户是否拥有声明角色的权限 (GrantedAuthority) access="ROLE_USER,ROLE_ ADMIN"-->
<bean class="org.springframework.security.access.vote.RoleVoter" id="roleVoter"/>
<!--支持特定类型的声明,允许使用通配符-->
<bean class="org.springframework.security.access.vote.AuthenticatedVoter" id="authenticatedVoter"/>

---

LogoutFilter

• 使得HTTP session 失效（如果invalidate-session 属性被设置为true）；
• 清除SecurityContex（真正使得用户退出）；
• 将页面重定向至logout-success-url 指明的URL。

    <http auto-config="true" use-expressions="true">
        <logout invalidate-session="true"
        logout-success-url="/"
        logout-url="/j_spring_security_logout"/>
    </http>

属性	作用
invalidate-session	如果被设置为true，用户的HTTP session 将会在退出时被失效
logout-success-url	用户在退出后将要被重定向到的URL
logout-url	要读取的URL