简介
Spring Security 是一个功能强大且易于使用的开源框架，用于实现认证和授权的功能。它可以轻松地与 Spring 框架集成，并提供了一套灵活的 API，用于保护应用程序的安全。
在 Spring Security 中，SecurityFilterChain 是整个过滤器链的起始点，负责控制访问资源的权限。通过配置 HttpSecurity 对象，我们可以定义不同 URL 路径的访问权限、认证方式、角色等。
构建SecurityFilterChain
首先，在 Spring Boot 项目中引入 Spring Security 的依赖：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
接下来，在你的配置类中，创建一个WebSecurityConfigurerAdapter的子类，并重写configure(HttpSecurity http)方法：
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
// 在这里配置安全规则
}
}
在configure(HttpSecurity http)方法中，我们可以使用http对象来配置各种安全规则。下面是一些常见的配置示例：
设置访问权限
http
.authorizeRequests()
.antMatchers("/public/**").permitAll()
.antMatchers("/admin/**").hasRole("ADMIN")
.anyRequest().authenticated();
这个示例代码首先为/public/目录下的所有请求开放访问权限，然后为/admin/目录下的请求设置了"ADMIN"角色的访问权限，最后，对于其他所有请求，要求用户进行身份认证。
配置登录页面
http
.formLogin()
.loginPage("/login")
.permitAll();
这个示例代码设置了登录页面路径为/login，并允许所有用户进行登录。
配置注销
http
.logout()
.logoutUrl("/logout")
.permitAll();
这个示例代码设置了注销处理的 URL 为/logout，并允许所有用户进行注销。
配置跨站请求伪造保护
http
.csrf()
.disable();
这个示例代码禁用了跨站请求伪造保护功能，适用于前后端分离的开发模式。
总结
通过HttpSecurity对象构建SecurityFilterChain可以为我们的应用程序提供强大的安全保护机制。在配置文件中，我们可以设置访问权限、认证方式、登录注销等功能，以及其他高级功能，例如密码加密、Remember-Me 功能等。
Spring Security 提供了丰富的 API 和文档，如果你想了解更多详细配置，可以参考官方文档。
希望本文能帮助你理解 Spring Security 中的 HttpSecurity 构建 SecurityFilterChain 的过程，并且在你的应用程序中使用它来保护你的资源安全。
本文来自极简博客，作者：码农日志，转载请注明原文链接：Spring Security 通过HttpSecurity构建SecurityFilterChain
