Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架，用于保护基于Spring的应用程序。它提供了一套全面的安全服务，包括身份验证（Authentication）、授权（Authorization）、会话管理（Session Management）等功能。
Spring Security的基本概念和原理包括：
-
Authentication（身份验证）：验证用户的身份，确保用户是谁。Spring Security支持多种身份验证方式，包括基于表单、基于HTTP基本认证、基于LDAP等。 -
Authorization（授权）：确定用户是否有权限执行特定操作。通过配置访问控制列表（ACL）或角色（Roles）来定义用户的权限。 -
Principal（主体）：代表当前与应用程序交互的用户，包含用户的身份信息。 -
Granted Authority（授予权限）：表示用户被授予的权限，用于授权决策。 -
Security Context（安全上下文）：在应用程序中存储当前用户的身份和权限信息，以便在需要时进行访问控制决策。 -
Filter Chain（过滤器链）：Spring Security通过一系列过滤器来处理安全相关的任务，如身份验证、授权等。每个过滤器负责不同的安全任务，通过过滤器链依次执行这些任务。
在一个基于Spring Security的应用程序中，安全过滤器链是核心组件之一，它负责处理身份验证、授权等安全相关任务。过滤器链是由一系列过滤器组成，每个过滤器负责不同的安全任务，如身份验证、授权、会话管理等。
在Spring Security中，过滤器链的加载过程通常发生在 DelegatingFilterProxy 的 doFilter() 方法中。当应用程序启动时， DelegatingFilterProxy 会被实例化并加载到Servlet容器中，作为一个Servlet过滤器。在 doFilter() 方法中， DelegatingFilterProxy 会调用Spring Security的 FilterChainProxy 来加载安全过滤器链。
FilterChainProxy 是Spring Security中负责管理过滤器链的核心组件，它根据配置文件中定义的安全过滤器链顺序，依次调用每个过滤器的 doFilter() 方法。每个过滤器在执行过程中会处理特定的安全任务，如身份验证、授权等。
代码如下：
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/admin/**").hasRole("ADMIN")
.antMatchers("/user/**").hasRole("USER")
.anyRequest().authenticated()
.and()
.formLogin()
.and()
.httpBasic();
}
}
在上面的配置中，定义了一个简单的安全配置，指定了不同URL路径需要的角色权限。当应用程序启动时， DelegatingFilterProxy 会加载 FilterChainProxy ， FilterChainProxy 根据配置中定义的安全规则，依次调用相应的过滤器来处理身份验证、授权等任务。
原文链接: https://blog.csdn.net/2401_82884096/article/details/138192004