摘要：構(gòu)建完實(shí)例后，將它設(shè)置為的父認(rèn)證管理器并將該傳入構(gòu)造器構(gòu)建實(shí)例。，目前為止已經(jīng)被初始化，接下去需要設(shè)置對(duì)象添加至的列表中打開類結(jié)構(gòu)，和一樣，它也實(shí)現(xiàn)了接口，同樣繼承自。最后返回的是的默認(rèn)實(shí)現(xiàn)。

最近在整合微服務(wù)OAuth 2認(rèn)證過程中，它是基于Spring Security之上，而本人對(duì)Spring Security架構(gòu)原理并不太熟悉，導(dǎo)致很多配置搞不太清楚，遂咬牙啃完了Spring Security核心源碼，花了差不多一星期，總體上來說，其代碼確實(shí)比較晦澀，之前在學(xué)習(xí)Apache Shiro框架之前也曾經(jīng)在相關(guān)論壇里了解過，相比Spring Security，Apache Shiro真的是相當(dāng)輕量，代碼研讀起來容易很多，而Spring Security類繼承結(jié)構(gòu)復(fù)雜，大量使用了其所謂Builder和Configuer模式，其代碼跟蹤過程很痛苦，遂記錄下，分享給有需要的人，由于本人能力有限，在文章中有不對(duì)之處，還請(qǐng)各位執(zhí)教，在此謝謝各位了。

本人研讀的Spring Security版本為：5.1.4.RELEASE

Spring Security在3.2版本之后支持Java Configuration，即：通過Java編碼形式配置Spring Security，可不再依賴XML文件配置，本文采用Java Configuration方式。

在Spring Security官方文檔中有一個(gè)最簡配置例子：

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.context.annotation.*;
import org.springframework.security.config.annotation.authentication.builders.*;
import org.springframework.security.config.annotation.web.configuration.*;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password("password").roles("USER");
    }
}

我們先不要看其它內(nèi)容，先關(guān)注注解@EnableWebSecurity，它是初始化Spring Security的入口，打開其源碼如下：

@Retention(value = java.lang.annotation.RetentionPolicy.RUNTIME)
@Target(value = { java.lang.annotation.ElementType.TYPE })
@Documented
@Import({ WebSecurityConfiguration.class,
        SpringWebMvcImportSelector.class,
        OAuth2ImportSelector.class })
@EnableGlobalAuthentication
@Configuration
public @interface EnableWebSecurity {

    /**
     * Controls debugging support for Spring Security. Default is false.
     * @return if true, enables debug support with Spring Security
     */
    boolean debug() default false;
}

該注解類通過@Configuration和@Import配合使用引入了一個(gè)配置類（WebSecurityConfiguration）和兩個(gè)ImportSelector（SpringWebMvcImportSelector，OAuth2ImportSelector），我們重點(diǎn)關(guān)注下WebSecurityConfiguration，它是Spring Security的核心，正是它構(gòu)建初始化了所有的Bean實(shí)例和相關(guān)配置，下面我們?cè)敿?xì)分析下。

打開WebSecurityConfiguration源碼，發(fā)現(xiàn)它被@Configuration標(biāo)記，說明它是配置類，

@Configuration
public class WebSecurityConfiguration implements ImportAware, BeanClassLoaderAware 

該類中最重要的工作就是實(shí)例并注冊(cè)FilterChainProxy，也就是我們?cè)谝郧癤ML文件中配置的過濾器：

    springSecurityFilterChain
    org.springframework.web.filter.DelegatingFilterProxy


    springSecurityFilterChain
    /*

該過濾器負(fù)責(zé)攔截請(qǐng)求，并把請(qǐng)求通過一定的匹配規(guī)則（通過RequestMatcher匹配實(shí)現(xiàn)）路由（或者Delegate）到具體的SecurityFilterChain，源碼如下：

/**
     * Creates the Spring Security Filter Chain
     * @return the {@link Filter} that represents the security filter chain
     * @throws Exception
     */
    @Bean(name = AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME)
    public Filter springSecurityFilterChain() throws Exception {
        boolean hasConfigurers = webSecurityConfigurers != null
                && !webSecurityConfigurers.isEmpty();
        if (!hasConfigurers) {
            WebSecurityConfigurerAdapter adapter = objectObjectPostProcessor
                    .postProcess(new WebSecurityConfigurerAdapter() {
                    });
            webSecurity.apply(adapter);
        }
        return webSecurity.build();
    }

@Bean注解name屬性值AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME就是XML中定義的springSecurityFilterChain。

從源碼中知道過濾器通過最后的webSecurity.build()創(chuàng)建，webSecurity的類型為：WebSecurity，它在setFilterChainProxySecurityConfigurer方法中優(yōu)先被創(chuàng)建了：

    /**
     * Sets the {@code }
     * instances used to create the web configuration.
     *
     * @param objectPostProcessor the {@link ObjectPostProcessor} used to create a
     * {@link WebSecurity} instance
     * @param webSecurityConfigurers the
     * {@code } instances used to
     * create the web configuration
     * @throws Exception
     */
    @Autowired(required = false)
    public void setFilterChainProxySecurityConfigurer(
            ObjectPostProcessor