摘要：前言我們知道的核心實(shí)現(xiàn)原理都是從開始的，通過構(gòu)造層層來實(shí)現(xiàn)登錄跳轉(zhuǎn)權(quán)限驗(yàn)證，角色管理等功能。本章通過剖析的核心源碼來說明的是如何開始構(gòu)造并運(yùn)行的。

我們知道Spring Security的核心實(shí)現(xiàn)原理都是從filter開始的，Spring Security通過構(gòu)造層層filter來實(shí)現(xiàn)登錄跳轉(zhuǎn)、權(quán)限驗(yàn)證，角色管理等功能。本章通過剖析Spring Security的核心源碼來說明Spring Security的filter是如何開始構(gòu)造并運(yùn)行的。

往往我們定義一個(gè)Spring Security程序都是通過配置一個(gè)WebSecurityConfig類開始的，簡單代碼如下：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(final HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/login").permitAll()
                .anyRequest().authenticated()
                .and().formLogin();
    }
    
}

通過以上代碼一個(gè)簡單的Spring Security應(yīng)用程序就能成功執(zhí)行了，該程序能攔截除了/login路徑以外的所有請(qǐng)求到登錄頁面。
我們可以看到以上代碼并沒有任何顯示聲明filter的語句，那么Spring Security是如何通過上述代碼生成filter的呢？下面就由我來一層層解剖Spring Security的源碼來說明。

我們注意到如上代碼有個(gè)@EnableWebSecurity注解,進(jìn)入該注解查看

@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.TYPE})
@Documented
#注意這里！
@Import({WebSecurityConfiguration.class, SpringWebMvcImportSelector.class, OAuth2ImportSelector.class})
@EnableGlobalAuthentication
@Configuration
public @interface EnableWebSecurity {
    boolean debug() default false;
}

我們可以看到如上該注解導(dǎo)入了WebSecurityConfiguration類，進(jìn)入該類查看：

@Configuration
public class WebSecurityConfiguration implements ImportAware, BeanClassLoaderAware {
    private WebSecurity webSecurity;
    private Boolean debugEnabled;
    private List> webSecurityConfigurers;
    private ClassLoader beanClassLoader;
    @Autowired(
        required = false
    )
    private ObjectPostProcessor