Spring Security的配置機(jī)制早就變了

以前胖哥說過SecurityConfigurerAdapter會在即將發(fā)布的5.7版本作廢，從Spring Security 5.4版本開始會提供一個原型范圍的HttpSecurity來幫助我們構(gòu)建過濾器鏈SecurityFilterChain：

 @Bean(HTTPSECURITY_BEAN_NAME)
?@Scope("prototype")
?HttpSecurity?httpSecurity()?throws?Exception?{
??WebSecurityConfigurerAdapter.LazyPasswordEncoder?passwordEncoder?=?new?WebSecurityConfigurerAdapter.LazyPasswordEncoder(
????this.context);
??AuthenticationManagerBuilder?authenticationBuilder?=?new?WebSecurityConfigurerAdapter.DefaultPasswordEncoderAuthenticationManagerBuilder(
????this.objectPostProcessor,?passwordEncoder);
??authenticationBuilder.parentAuthenticationManager(authenticationManager());
??HttpSecurity?http?=?new?HttpSecurity(this.objectPostProcessor,?authenticationBuilder,?createSharedObjects());
??//?@formatter:off
??http
???.csrf(withDefaults())
???.addFilter(new?WebAsyncManagerIntegrationFilter())
???.exceptionHandling(withDefaults())
???.headers(withDefaults())
???.sessionManagement(withDefaults())
???.securityContext(withDefaults())
???.requestCache(withDefaults())
???.anonymous(withDefaults())
???.servletApi(withDefaults())
???.apply(new?DefaultLoginPageConfigurer<>());
??http.logout(withDefaults());
??//?@formatter:on
??return?http;
?}

這里會構(gòu)建基于原型的HttpSecurityBean，并且初始化了一些默認(rèn)配置供我們來使用。涉及Spring Security的日常開發(fā)都是圍繞這個類進(jìn)行的，所以這個類是學(xué)習(xí)Spring Security的重中之重。

?

基于原型（prototype）的Spring Bean的一個典型應(yīng)用場景，

基本配置

日常我們使用的一些配置項如下：

高級玩法

新手建議先把上面的基本玩法有選擇的弄明白，然后有精力的話去研究下HttpSecurity的高級玩法。

apply

這個方法用來把其它的一些配置合并到當(dāng)前的配置中去，形成插件化，支持SecurityConfigurerAdapter或者SecurityConfigurer的實現(xiàn)。其實內(nèi)置的一些配置都是以這種形式集成到HttpSecurity中去的。例如文章開頭的配置中有默認(rèn)登錄頁面相關(guān)的配置：

?httpSecurity.apply(new?DefaultLoginPageConfigurer<>());

objectPostProcessor

配置一個自定義ObjectPostProcessor。ObjectPostProcessor可以改變某些配置內(nèi)部的機(jī)制，這些配置往往不直接對外提供操作接口。

獲取、移除配置類

getConfigurer用來獲取已經(jīng)apply的配置類；getConfigurers用來獲取已經(jīng)apply某個類型的所有配置類。這個現(xiàn)在是我最喜歡的自定義的方式。

配置、獲取SharedObject

SharedObject是在配置中進(jìn)行共享的一些對象，HttpSecurity共享了一些非常有用的對象可以供各個配置之間共享，比如AuthenticationManager。相關(guān)的方法有setSharedObject、getSharedObject、getSharedObjects。

獲取SecurityFilterChain

HttpSecurity也提供了構(gòu)建目標(biāo)對象SecurityFilterChain的實例的方法。你可以通過build()來對配置進(jìn)行初次構(gòu)建；也可以通過getObject()來獲取已經(jīng)構(gòu)建的實例；甚至你可以使用getOrBuild()來進(jìn)行直接獲取實例或者構(gòu)建實例。

所以新的配置都是這樣的：

@Bean
SecurityFilterChain?securityFilterChain?(HttpSecurity?http)?{
????http.cors();
????return?http.build();
}

?

記住每一個HttpSecurity只能被構(gòu)建成功一次。

這一篇非常重要

本篇東西非常重要，不是馬上就能掌握的，需要有些耐心，需要在使用和學(xué)習(xí)中總結(jié)和發(fā)現(xiàn)。