Spring Security的配置机制早就变了

以前胖哥说过SecurityConfigurerAdapter会在即将发布的5.7版本作废，从Spring Security 5.4版本开始会提供一个原型范围的HttpSecurity来帮助我们构建过滤器链SecurityFilterChain：

 @Bean(HTTPSECURITY_BEAN_NAME)
 @Scope("prototype")
 HttpSecurity httpSecurity() throws Exception {
  WebSecurityConfigurerAdapter.LazyPasswordEncoder passwordEncoder = new WebSecurityConfigurerAdapter.LazyPasswordEncoder(
    this.context);
  AuthenticationManagerBuilder authenticationBuilder = new WebSecurityConfigurerAdapter.DefaultPasswordEncoderAuthenticationManagerBuilder(
    this.objectPostProcessor, passwordEncoder);
  authenticationBuilder.parentAuthenticationManager(authenticationManager());
  HttpSecurity http = new HttpSecurity(this.objectPostProcessor, authenticationBuilder, createSharedObjects());
  // @formatter:off
  http
   .csrf(withDefaults())
   .addFilter(new WebAsyncManagerIntegrationFilter())
   .exceptionHandling(withDefaults())
   .headers(withDefaults())
   .sessionManagement(withDefaults())
   .securityContext(withDefaults())
   .requestCache(withDefaults())
   .anonymous(withDefaults())
   .servletApi(withDefaults())
   .apply(new DefaultLoginPageConfigurer<>());
  http.logout(withDefaults());
  // @formatter:on
  return http;
 }

这里会构建基于原型的HttpSecurityBean，并且初始化了一些默认配置供我们来使用。涉及Spring Security的日常开发都是围绕这个类进行的，所以这个类是学习Spring Security的重中之重。

❝

基于原型（prototype）的Spring Bean的一个典型应用场景，

基本配置

日常我们使用的一些配置项如下：

高级玩法

新手建议先把上面的基本玩法有选择的弄明白，然后有精力的话去研究下HttpSecurity的高级玩法。

apply

这个方法用来把其它的一些配置合并到当前的配置中去，形成插件化，支持SecurityConfigurerAdapter或者SecurityConfigurer的实现。其实内置的一些配置都是以这种形式集成到HttpSecurity中去的。例如文章开头的配置中有默认登录页面相关的配置：

 httpSecurity.apply(new DefaultLoginPageConfigurer<>());

objectPostProcessor

配置一个自定义ObjectPostProcessor。ObjectPostProcessor可以改变某些配置内部的机制，这些配置往往不直接对外提供操作接口。

获取、移除配置类

getConfigurer用来获取已经apply的配置类；getConfigurers用来获取已经apply某个类型的所有配置类。这个现在是我最喜欢的自定义的方式。

配置、获取SharedObject

SharedObject是在配置中进行共享的一些对象，HttpSecurity共享了一些非常有用的对象可以供各个配置之间共享，比如AuthenticationManager。相关的方法有setSharedObject、getSharedObject、getSharedObjects。

获取SecurityFilterChain

HttpSecurity也提供了构建目标对象SecurityFilterChain的实例的方法。你可以通过build()来对配置进行初次构建；也可以通过getObject()来获取已经构建的实例；甚至你可以使用getOrBuild()来进行直接获取实例或者构建实例。

所以新的配置都是这样的：

@Bean
SecurityFilterChain securityFilterChain (HttpSecurity http) {
    http.cors();
    return http.build();
}

❝

记住每一个HttpSecurity只能被构建成功一次。

这一篇非常重要

本篇东西非常重要，不是马上就能掌握的，需要有些耐心，需要在使用和学习中总结和发现。