Spring Security的配置機制早就變了
2022-04-29 13:55:35

以前胖哥說過SecurityConfigurerAdapter會在即將發(fā)布的5.7版本作廢，從Spring Security 5.4版本開始會提供一個原型范圍的??HttpSecurity???來幫助我們構(gòu)建過濾器鏈??SecurityFilterChain??：

@Bean(HTTPSECURITY_BEAN_NAME)
 @Scope("prototype")
 HttpSecurity httpSecurity() throws Exception {
  WebSecurityConfigurerAdapter.LazyPasswordEncoder passwordEncoder = new WebSecurityConfigurerAdapter.LazyPasswordEncoder(
    this.context);
  AuthenticationManagerBuilder authenticationBuilder = new WebSecurityConfigurerAdapter.DefaultPasswordEncoderAuthenticationManagerBuilder(
    this.objectPostProcessor, passwordEncoder);
  authenticationBuilder.parentAuthenticationManager(authenticationManager());
  HttpSecurity http = new HttpSecurity(this.objectPostProcessor, authenticationBuilder, createSharedObjects());
  // @formatter:off
  http
   .csrf(withDefaults())
   .addFilter(new WebAsyncManagerIntegrationFilter())
   .exceptionHandling(withDefaults())
   .headers(withDefaults())
   .sessionManagement(withDefaults())
   .securityContext(withDefaults())
   .requestCache(withDefaults())
   .anonymous(withDefaults())
   .servletApi(withDefaults())
   .apply(new DefaultLoginPageConfigurer<>());
  http.logout(withDefaults());
  // @formatter:on
  return http;
 }

這里會構(gòu)建基于原型的??HttpSecurity??Bean，并且初始化了一些默認配置供我們來使用。涉及Spring Security的日常開發(fā)都是圍繞這個類進行的，所以這個類是學(xué)習(xí)Spring Security的重中之重。

?

基于原型（??prototype??）的Spring Bean的一個典型應(yīng)用場景，

基本配置

日常我們使用的一些配置項如下：

高級玩法

新手建議先把上面的基本玩法有選擇的弄明白，然后有精力的話去研究下??HttpSecurity??的高級玩法。

apply

這個方法用來把其它的一些配置合并到當(dāng)前的配置中去，形成插件化，支持??SecurityConfigurerAdapter???或者??SecurityConfigurer???的實現(xiàn)。其實內(nèi)置的一些配置都是以這種形式集成到??HttpSecurity??中去的。例如文章開頭的配置中有默認登錄頁面相關(guān)的配置：

httpSecurity.apply(new DefaultLoginPageConfigurer<>());

胖哥就利用這個搞了一個支持小程序登錄和驗證碼登錄的擴展?

spring-security-login-extension

objectPostProcessor

配置一個自定義??ObjectPostProcessor???。??ObjectPostProcessor??可以改變某些配置內(nèi)部的機制，這些配置往往不直接對外提供操作接口。

獲取、移除配置類

??getConfigurer???用來獲取已經(jīng)??apply???的配置類；??getConfigurers???用來獲取已經(jīng)??apply??某個類型的所有配置類。這個現(xiàn)在是我最喜歡的自定義的方式。

配置、獲取SharedObject

??SharedObject???是在配置中進行共享的一些對象，HttpSecurity共享了一些非常有用的對象可以供各個配置之間共享，比如??AuthenticationManager???。相關(guān)的方法有??setSharedObject???、??getSharedObject???、??getSharedObjects??。

獲取SecurityFilterChain

??HttpSecurity???也提供了構(gòu)建目標對象??SecurityFilterChain???的實例的方法。你可以通過??build()???來對配置進行初次構(gòu)建；也可以通過??getObject()???來獲取已經(jīng)構(gòu)建的實例；甚至你可以使用??getOrBuild()??來進行直接獲取實例或者構(gòu)建實例。

所以新的配置都是這樣的：

@Bean
SecurityFilterChain securityFilterChain (HttpSecurity http) {
    http.cors();
    return http.build();
}

?

記住每一個??HttpSecurity??只能被構(gòu)建成功一次。

這一篇非常重要

本篇東西非常重要，不是馬上就能掌握的，需要有些耐心，需要在使用和學(xué)習(xí)中總結(jié)和發(fā)現(xiàn)。

另外最近胖哥有很多成系列的內(nèi)容輸出：

• OAuth2?系列教程

• 開源了一個登錄組件擴展spring-security-login-extension，降低對接配置成本。
• 粉絲福利：正版IntelliJ IDEA?抽獎

有興趣的可以看看。