本文来详细说下security中的WebSecurityConfigurerAdapter

概述

今天我们要进一步的的学习如何自定义配置 Spring Security 我们已经多次提到了 WebSecurityConfigurerAdapter ，而且我们知道 Spring Boot 中的自动配置实际上是通过自动配置包下的 SecurityAutoConfiguration 总配置类上导入的 Spring Boot Web 安全配置类 SpringBootWebSecurityConfiguration 来配置的。

SpringBootWebSecurityConfiguration源码

packageorg.springframework.boot.autoconfigure.security.servlet;importorg.springframework.boot.autoconfigure.condition.ConditionalOnClass;importorg.springframework.boot.autoconfigure.condition.ConditionalOnMissingBean;importorg.springframework.boot.autoconfigure.condition.ConditionalOnWebApplication;importorg.springframework.boot.autoconfigure.condition.ConditionalOnWebApplication.Type;importorg.springframework.context.annotation.Configuration;importorg.springframework.core.annotation.Order;importorg.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;@Configuration(
    proxyBeanMethods=false)@ConditionalOnClass({WebSecurityConfigurerAdapter.class})@ConditionalOnMissingBean({WebSecurityConfigurerAdapter.class})@ConditionalOnWebApplication(
    type=Type.SERVLET)publicclassSpringBootWebSecurityConfiguration{publicSpringBootWebSecurityConfiguration(){}@Configuration(
        proxyBeanMethods=false)@Order(2147483642)staticclassDefaultConfigurerAdapterextendsWebSecurityConfigurerAdapter{DefaultConfigurerAdapter(){}}}

常用方法

WebSecurityConfigurerAdapter类图

常用配置

下面贴一下WebSecurityConfigurerAdapter在项目中的常用配置

packagecn.wideth.framework.config;importcn.wideth.framework.security.handle.AuthenticationEntryPointImpl;importorg.springframework.beans.factory.annotation.Autowired;importorg.springframework.context.annotation.Bean;importorg.springframework.http.HttpMethod;importorg.springframework.security.authentication.AuthenticationManager;importorg.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;importorg.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;importorg.springframework.security.config.annotation.web.builders.HttpSecurity;importorg.springframework.security.config.annotation.web.builders.WebSecurity;importorg.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;importorg.springframework.security.config.http.SessionCreationPolicy;importorg.springframework.security.core.userdetails.UserDetailsService;importorg.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;importorg.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;importorg.springframework.security.web.authentication.logout.LogoutFilter;importorg.springframework.web.filter.CorsFilter;importcn.wideth.framework.security.filter.JwtAuthenticationTokenFilter;importcn.wideth.framework.security.handle.LogoutSuccessHandlerImpl;/**
 * spring security配置
 *
 */@EnableGlobalMethodSecurity(prePostEnabled=true, securedEnabled=true)publicclassSecurityConfigextendsWebSecurityConfigurerAdapter{/**
     * 自定义用户认证逻辑
     */@AutowiredprivateUserDetailsService userDetailsService;/**
     * 认证失败处理类
     */@AutowiredprivateAuthenticationEntryPointImpl unauthorizedHandler;/**
     * 退出处理类
     */@AutowiredprivateLogoutSuccessHandlerImpl logoutSuccessHandler;/**
     * token认证过滤器
     */@AutowiredprivateJwtAuthenticationTokenFilter authenticationTokenFilter;/**
     * 跨域过滤器
     */@AutowiredprivateCorsFilter corsFilter;/**
     * 解决 无法直接注入 AuthenticationManager
     *
     * @return
     * @throws Exception
     */@Bean@OverridepublicAuthenticationManagerauthenticationManagerBean()throwsException{returnsuper.authenticationManagerBean();}/**
     * 强散列哈希加密实现
     */@BeanpublicBCryptPasswordEncoderbCryptPasswordEncoder(){returnnewBCryptPasswordEncoder();}/**
     * 身份认证接口
     */@Overrideprotectedvoidconfigure(AuthenticationManagerBuilder auth)throwsException{//在这里关联数据库和security
        auth.userDetailsService(userDetailsService).passwordEncoder(bCryptPasswordEncoder());}/**
     * anyRequest          |   匹配所有请求路径
     * access              |   SpringEl表达式结果为true时可以访问
     * anonymous           |   匿名可以访问
     * denyAll             |   用户不能访问
     * fullyAuthenticated  |   用户完全认证可以访问（非remember-me下自动登录）
     * hasAnyAuthority     |   如果有参数，参数表示权限，则其中任何一个权限可以访问
     * hasAnyRole          |   如果有参数，参数表示角色，则其中任何一个角色可以访问
     * hasAuthority        |   如果有参数，参数表示权限，则其权限可以访问
     * hasIpAddress        |   如果有参数，参数表示IP地址，如果用户IP和参数匹配，则可以访问
     * hasRole             |   如果有参数，参数表示角色，则其角色可以访问
     * permitAll           |   用户可以任意访问
     * rememberMe          |   允许通过remember-me登录的用户访问
     * authenticated       |   用户登录后可访问
     */@Overrideprotectedvoidconfigure(HttpSecurity httpSecurity)throwsException{
    
        httpSecurity// CSRF禁用，因为不使用session.csrf().disable()// 认证失败处理类.exceptionHandling().authenticationEntryPoint(unauthorizedHandler).and()// 基于token，所以不需要session.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()// 过滤请求.authorizeRequests()// 对于登录login 验证码captchaImage 允许匿名访问.antMatchers("/login","/captchaImage").anonymous().antMatchers(HttpMethod.GET,"/*.html","/**/*.html","/**/*.css","/**/*.js").permitAll().antMatchers("/profile/**").permitAll().antMatchers("/common/download**").permitAll().antMatchers("/common/download/resource**").permitAll().antMatchers("/swagger-ui.html").permitAll().antMatchers("/swagger-resources/**").permitAll().antMatchers("/webjars/**").permitAll().antMatchers("/*/api-docs").permitAll().antMatchers("/druid/**").permitAll().antMatchers("/flowable/**").permitAll().antMatchers("/socket/**").permitAll().antMatchers("/api/common/**").permitAll().antMatchers("/api/contract/**").permitAll().antMatchers("/api/project/**").permitAll().antMatchers("/api/document/**").permitAll().antMatchers("/api/purchase/**").permitAll()// 除上面外的所有请求全部需要鉴权认证.anyRequest().authenticated().and().headers().frameOptions().disable();
        httpSecurity.logout().logoutUrl("/logout").logoutSuccessHandler(logoutSuccessHandler);// 添加JWT filter
        httpSecurity.addFilterBefore(authenticationTokenFilter,UsernamePasswordAuthenticationFilter.class);// 添加CORS filter
        httpSecurity.addFilterBefore(corsFilter,JwtAuthenticationTokenFilter.class);
        httpSecurity.addFilterBefore(corsFilter,LogoutFilter.class);}/***
     * 核心过滤器配置方法
     * @param web
     * @throws Exception
     */@Overridepublicvoidconfigure(WebSecurity web)throwsException{super.configure(web);}}

相信已经有人注意到了上面 WebSecurityConfigurerAdapter 中我覆写（@Override）了三个configure方法，我们一般会通过自定义配置这三个方法来自定义我们的安全访问策略。

认证管理器配置方法

AuthenticationManagerBuilder（身份验证管理生成器）

void configure(AuthenticationManagerBuilder auth) 用来配置认证管理器AuthenticationManager。说白了就是所有 UserDetails 相关的它都管，包含 PasswordEncoder 密码等。如果你不清楚可以通过 Spring Security 中的 UserDetail 进行了解。本文对 AuthenticationManager 不做具体分析讲解，后面会有专门的文章来讲这个东西 。

常见用法

/**
  * 身份认证接口
  */@Overrideprotectedvoidconfigure(AuthenticationManagerBuilder auth)throwsException{
     auth.userDetailsService(userDetailsService).passwordEncoder(bCryptPasswordEncoder());}

核心过滤器配置方法

WebSecurity（WEB安全）

void configure(WebSecurity web) 用来配置 WebSecurity 。而 WebSecurity 是基于 Servlet Filter 用来配置 springSecurityFilterChain 。而 springSecurityFilterChain 又被委托给了 Spring Security 核心过滤器 Bean DelegatingFilterProxy 。 相关逻辑你可以在 WebSecurityConfiguration 中找到。我们一般不会过多来自定义 WebSecurity , 使用较多的使其ignoring() 方法用来忽略 Spring Security 对静态资源的控制。

安全过滤器链配置方法

HttpSecurity（HTTP请求安全处理）

void configure(HttpSecurity http) 这个是我们使用最多的，用来配置 HttpSecurity 。 HttpSecurity 用于构建一个安全过滤器链 SecurityFilterChain 。SecurityFilterChain 最终被注入核心过滤器 。 HttpSecurity 有许多我们需要的配置。我们可以通过它来进行自定义安全访问策略。所以我们单独开一章来讲解这个东西。

HttpSecurity 配置

HttpSecurity 是后面几篇文章的重点，我们将实际操作它来实现一些实用功能。所以本文要着重介绍它。

HttpSecurity 类图

默认配置

默认配置

protectedvoidconfigure(HttpSecurity http)throwsException{this.logger.debug("Usingdefaultconfigure(HttpSecurity).If subclassedthis will potentially override subclassconfigure(HttpSecurity).");((HttpSecurity)((HttpSecurity((AuthorizedUrl)
        http.authorizeRequests().anyRequest()).authenticated().and()).formLogin().and()).httpBasic();}

上面是 Spring Security 在 Spring Boot 中的默认配置。通过以上的配置，你的应用具备了一下的功能：

• 所有的请求访问都需要被授权。
• 使用 form 表单进行登陆(默认路径为/login)，也就是前几篇我们见到的登录页。
• 防止 CSRF 攻击、 XSS 攻击。
• 启用 HTTP Basic 认证

常用方法解读

HttpSecurity 使用了builder 的构建方式来灵活制定访问策略。最早基于 XML 标签对 HttpSecurity 进行配置。现在大部分使用 javaConfig方式。常用的方法解读如下：

本文小结

本文详细介绍了WebSecurityConfigurerAdapter相关的知识与内容，后续会对HttpSecurity相关的知识进行详细介绍，这个也是在平时的开发中使用的最多的地方。