一、介绍

1、介绍

SecurityConfigurer 在 Spring Security 中是一个非常重要的角色。在前面的内容中曾经多次提到过，Spring Security 过滤器链中的每一个过滤器，都是通过 xxxConfigurer 来进行配置的，而这些
xxxConfigurer 实际上都是 SecurityConfigurer 的实现。

//  O（DefaultSecurityFilterChain）  B（HttpSecurity）
public interface SecurityConfigurer<O, B extends SecurityBuilder<O>> {

	/**
	 * Initialize the {@link SecurityBuilder}. Here only shared state should be created
	 * and modified, but not properties on the {@link SecurityBuilder} used for building
	 * the object. This ensures that the {@link #configure(SecurityBuilder)} method uses
	 * the correct shared objects when building. Configurers should be applied here.
	 * @param builder
	 * @throws Exception
	 */
	void init(B builder) throws Exception;

	/**
	 * Configure the {@link SecurityBuilder} by setting the necessary properties on the
	 * {@link SecurityBuilder}.
	 * @param builder
	 * @throws Exception
	 */
	void configure(B builder) throws Exception;

}

在init方法和configure方法中的形参都是SecurityBuilder类型，而SecurityBuilder是用来构建过滤器链的【DefaultSecurityFilterChainProxy】

2、实现

SecurityConfigurer的实现很多

主要实现有三个

（1） SecurityConfigurerAdapter

（2）GlobalAuthenticationConfigurerAdapter

（2）WebSecurityConfigurer

二、SecurityConfigurerAdapter

public abstract class SecurityConfigurerAdapter<O, B extends SecurityBuilder<O>> implements SecurityConfigurer<O, B> 

三、WebSecurityConfigurer

public interface WebSecurityConfigurer<T extends SecurityBuilder<Filter>> extends SecurityConfigurer<Filter, T> {
}

主要实现是WebSecurityConfigurerAdapter

public abstract class WebSecurityConfigurerAdapter implements WebSecurityConfigurer<WebSecurity> 

下面看下WebSecurityConfigurerAdapter：

1、使用

自定义一个类如WebSecurityConfig 继承WebSecurityConfigurerAdapter抽象类，WebSecurityConfig 类上加上 @EnableWebSecurity 注解后，便会自动被 Spring 发现并注册（点击 @EnableWebSecurity 注解可以看到 @Configuration 注解已经存在，所以此处不需要额外添加）。

2、主要方法

2.1、configure（HttpSecurity http）配置访问控制

protected void configure(HttpSecurity http) throws Exception {
        this.logger.debug("Using default configure(HttpSecurity). If subclassed this will potentially override subclass configure(HttpSecurity).");
        ((HttpSecurity)((HttpSecurity)((AuthorizedUrl)http.authorizeRequests().anyRequest()).authenticated().and()).formLogin().and()).httpBasic();
    }

通过源码可以看到 WebSecurityConfigurerAdapter 已经默认声明了一些安全特性：

 验证所有用户请求； 允许用户使用表单登录进行身份验证（Spring Security 提供了一个简单的表单登录页面）； 允许用户使用 HTTP 基本认证。

通过覆写该方法，可以实现更多功能，如：

（1）跨域支持

先对SpringBoot配置，运行跨域请求

@Configuration
public class CorsConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
      // 设置允许跨域的路径
        registry.addMapping("/**")
                // 设置允许跨域请求的域名
                .allowedOriginPatterns("*")
                // 是否允许cookie
                .allowCredentials(true)
                // 设置允许的请求方式
                .allowedMethods("GET", "POST", "DELETE", "PUT")
                // 设置允许的header属性
                .allowedHeaders("*")
                // 跨域允许时间
                .maxAge(3600);
    }
}

由于我们的资源都会收到SpringSecurity的保护，所以想要跨域访问还要让SpringSecurity运行跨域访问。

 //允许跨域
http.cors();

（2） 

2.2、configure(AuthenticationManagerBuilder auth)身份认证

指定使用哪个 UserDetailsService 实现来获取用户信息和密码，以及使用哪个 PasswordEncoder 实现进行密码校验。

2.3、configure(WebSecurity web)

可以设置白名单，不经过过滤器

@Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers(AUTH_WHITELIST);
    }

四、GlobalAuthenticationConfigurerAdapter

1、介绍

GlobalAuthenticationConfigurerAdapter 看名字就知道是一个跟全局配置有关的东西，它本身实
现了 SecurityConfigurerAdapter 接口，但是并未对方法做具体的实现，只是将泛型具体化了。

可以看到，SecurityConfigurer 中的泛型，现在明确成了 AuthenticationManager 和
AuthenticationManagerBuilder。所以 GlobalAuthenticationConfigurerAdapter 的实现类将来主要
是和配置 AuthenticationManager 有关。当然也包括默认的用户名密码也是由它的实现类来进行配置的。我们在 Spring Security 中使用的 AuthenticationManager 其实可以分为两种，一种是局部的，另一种是全局的，这里主要是全局的配置。

public abstract class GlobalAuthenticationConfigurerAdapter implements SecurityConfigurer<AuthenticationManager, AuthenticationManagerBuilder> {
    public GlobalAuthenticationConfigurerAdapter() {
    }

    public void init(AuthenticationManagerBuilder auth) throws Exception {
    }

    public void configure(AuthenticationManagerBuilder auth) throws Exception {
    }
}