spring security 是一个基于 spring 框架的 web 应用程序安全框架。其架构包括：websecurityconfigureradapter：定义安全属性和拦截规则。websecurityconfigurerchain：拦截器链，处理请求。filtersecurityinterceptor：拦截器，检查用户权限。accessdecisionmanager：做出授权决策。authenticationmanager：验证用户身份。通过配置，可以对不同用户角色授予不同访问权限。spring security 提供扩展点，允许根据应用程序需求自定义安全功能。
Spring Security 框架的架构设计
Spring Security 是一款在 Spring 框架之上构建的安全框架，主要用于保护 Web 应用程序免遭各种安全威胁。它的架构旨在提供可扩展、灵活且易于使用的安全解决方案。
架构概述
Spring Security 框架的核心组件包括：
- WebSecurityConfigurerAdapter： 这是一个应用程序的配置类，用于定义安全相关的属性和拦截规则。
- WebSecurityConfigurerChain： 这是一个拦截器链，根据配置规则处理请求。
- FilterSecurityInterceptor： 这是一个拦截器，负责拦截所有请求，并检查用户是否有必要的权限来访问受保护的资源。
- AccessDecisionManager： 这是一个组件，负责根据用户角色和访问控制规则做出授权决策。
- AuthenticationManager： 这是一个组件，负责根据提供的凭据验证用户身份。
实战案例
考虑以下示例场景：
weiit-saas是一款Java开源项目，由weiit团队自研，意在通过技术封装，帮助企业一键生成小程序、公众号，让企业拥有独立品牌的自营商城。weiit-saas是完全开源电商SaaS系统，属于weiit开源的社区版，旧版已不在维护和更新，仅供学习和参考，新版saas从底层架构到前后端UI设计已经全面优化和升级。 主要特点1、项目采用Spring+SpringMVC+Mybatis主流开源框架
我们有一个 Web 应用程序，需要为不同的用户角色提供不同的访问控制。我们可以使用 Spring Security 如下实现：
// WebSecurityConfig.java
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
// 启用基于表单的身份验证
.formLogin()
.loginPage("/login")
.defaultSuccessUrl("/home")
.failureUrl("/login?error")
.and()
// 授权规则
.authorizeRequests()
.antMatchers("/admin/**").hasRole("ADMIN")
.antMatchers("/user/**").hasRole("USER")
.antMatchers("/").permitAll();
}
// 使用 JDBC 数据源来验证用户
@Override
protected AuthenticationManager authenticationManager() throws Exception {
UserDetailsService userDetailsService = new JDBCUserDetailsManager();
return new ProviderManager(new Provider[]{new DaoAuthenticationProvider(userDetailsService)});
}
}通过这种配置，管理员 (ADMIN) 角色将被授予访问所有 /admin/** URL 的权限，而用户 (USER) 角色将被授予访问所有 /user/** URL 的权限。未经身份验证的用户只能访问主页 (/)。
扩展性
Spring Security 提供了许多扩展点，允许你根据应用程序的特定需要自定义安全功能。你可以通过编写自定义拦截器、访问决策管理器和身份验证管理器来扩展框架。
