Spring Security执行顺序

Question

我无法确定spring security在何时何地执行身份验证管理器。我的意思是，certian过滤器按如下顺序执行：

  FIRST
- CHANNEL_FILTER
- CONCURRENT_SESSION_FILTER
- SECURITY_CONTEXT_FILTER
- LOGOUT_FILTER
- X509_FILTER

- PRE_AUTH_FILTER
- CAS_FILTER
- FORM_LOGIN_FILTER
- OPENID_FILTER
- BASIC_AUTH_FILTER
- SERVLET_API_SUPPORT_FILTER
- REMEMBER_ME_FILTER
- ANONYMOUS_FILTER

- EXCEPTION_TRANSLATION_FILTER
- SESSION_MANAGEMENT_FILTER
- FILTER_SECURITY_INTERCEPTOR
- SWITCH_USER_FILTER
- LAST

但是当身份验证提供者对提供的用户名和密码进行身份验证时，我的意思是问下面这些过滤器是身份验证提供者执行的。

问候贾延德拉

Answer 1

来自Spring Security文档：

过滤器在链中定义的顺序非常重要。无论您实际使用的是哪种过滤器，顺序应如下所示：

>

ChannelProcessingFilter，因为它可能需要重定向到其他协议

因此，在Web请求开始时，可以在SecurityContextHolder中设置SecurityContext，并且在Web请求结束时，可以将对SecurityContext的任何更改复制到Http会话（准备用于下一个Web请求）

ConcurrentSessionFilter，因为它使用SecurityContextHolder功能，但需要更新SessionRegistry以反映主体的持续请求

身份验证处理机制-UsernamePassword身份验证过滤器，Cas验证过滤器，基本身份验证过滤器等-以便可以修改SecurityContextHolder以包含有效的身份验证请求令牌

SecurityContextHolderAwareRequestFilter，如果您正在使用它将支持Spring Security的HttpServletRequestWrapper安装到servlet容器中

因此，如果之前没有更新SecurityContextHolder的身份验证处理机制，并且请求呈现一个cookie，使记住我的服务发生，一个合适的记住身份验证对象将放在那里

AnonymousAuthenticationFilter，这样，如果没有早期的身份验证处理机制更新SecurityContextHolder，则会将匿名身份验证对象放在那里

ExceptionTranslationFilter，捕获任何Spring Security异常，以便返回HTTP错误响应或启动适当的AuthenticationEntryPoint

FilterSecurity Interceptor，用于保护web URI，并在访问被拒绝时引发异常

因此，在第4步调用身份验证管理器。如果查看UsernamePasswordAuthenticationFilter的源代码，您将看到如下内容：

public Authentication attemptAuthentication(HttpServletRequest request,
        HttpServletResponse response) throws AuthenticationException {
    // ...
    return this.getAuthenticationManager().authenticate(authRequest);
}