Spring Security实现原理剖析（一）：filter的构造和初始化

摘要：前言我们知道的核心实现原理都是从开始的，通过构造层层来实现登录跳转权限验证，角色管理等功能。本章通过剖析的核心源码来说明的是如何开始构造并运行的。

我们知道Spring Security的核心实现原理都是从filter开始的，Spring Security通过构造层层filter来实现登录跳转、权限验证，角色管理等功能。本章通过剖析Spring Security的核心源码来说明Spring Security的filter是如何开始构造并运行的。

往往我们定义一个Spring Security程序都是通过配置一个WebSecurityConfig类开始的，简单代码如下：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(final HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/login").permitAll()
                .anyRequest().authenticated()
                .and().formLogin();
    }
    
}

通过以上代码一个简单的Spring Security应用程序就能成功执行了，该程序能拦截除了/login路径以外的所有请求到登录页面。
我们可以看到以上代码并没有任何显示声明filter的语句，那么Spring Security是如何通过上述代码生成filter的呢？下面就由我来一层层解剖Spring Security的源码来说明。

我们注意到如上代码有个@EnableWebSecurity注解,进入该注解查看

@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.TYPE})
@Documented
#注意这里！
@Import({WebSecurityConfiguration.class, SpringWebMvcImportSelector.class, OAuth2ImportSelector.class})
@EnableGlobalAuthentication
@Configuration
public @interface EnableWebSecurity {
    boolean debug() default false;
}

我们可以看到如上该注解导入了WebSecurityConfiguration类，进入该类查看：

@Configuration
public class WebSecurityConfiguration implements ImportAware, BeanClassLoaderAware {
    private WebSecurity webSecurity;
    private Boolean debugEnabled;
    private List> webSecurityConfigurers;
    private ClassLoader beanClassLoader;
    @Autowired(
        required = false
    )
    private ObjectPostProcessor