我们在用spring boot 配合spring security和oauth2的时候经常会把这两个类都用上，网上很多教程都没有告诉我们他们之间的关系是什么？如果同时在处理同一个Url（如：/api/**）应该是哪个生效？spring security的内部filter是个什么样子？带着这些疑问我们一层层的来扒开。

spring security的内部filter是个什么样子？

Java在正常servelet处理http的请求可能会经过很多的filter，大体例子像下面这个：

图片.png

而spring security又是怎么处理的呢，详见下图：

图片.png

从图中可以看出spring security自己有一个叫FilterChainProxy代理类，该类也实现了servlet接口。FilterChainProxy``内部有一个List<SecurityFilterChain> filterChains,而SecurityFilterChain是一个接口也是一个chain，每个chain里有若干个filter.既然有多个filter chain，那么来了一个http请求，这个请求（通过该请求的url来判断）应该由哪个或者哪些filter chain来进行处理呢？在spring security里一个请只会被一个filter chain进行处理，也就是spring security通过遍历filterChains这个集合时，只要找到能处理该请求的filter chain就不再进行其他的filter chain匹配。如下图：`

图片.png

比如来了一个请求，url是：/foo/**，那么他会被会第一个filter chain处理，后面的两个filter chain会被忽略掉。`

当我们在spring boot引入了spring-security的相关包时，security默认会为我们创建一个默认WebSecurityConfigurerAdapter，他拦截所有的http请求(/**),且这个Order的值是：SecurityProperties.BASIC_AUTH_ORDER。Security默认还会为我们创建一些filter：

图片.png

每个filter的作用可以在spring security中文档中找到。

当然你可以通过配置文件设置security.basic.enabled=false 来让默认的失效，或者你可以自定义一个并添加@Order值更低的WebSecurityConfigurerAdapter (or WebSecurityConfigurer) 的`@Bean``，比如像下面的代码：

@Order(SecurityProperties.BASIC_AUTH_ORDER - 10)

public class ApplicationConfigurerAdapter extends WebSecurityConfigurerAdapter {

 @Override

 protected void configure(HttpSecurity http) throws Exception {

 http.antMatcher("/foo/**")

 ...;

 }

}

如果同时在处理同一个Url（如：/api/**）应该是哪个生效？

WebSecurityConfigurerAdapter与ResourceServerConfigurerAdapter同时在的话且都配置了处理url为：/api/**，默认是后者会生效。我们在写ResourceServerConfigurerAdapter时，基本上会这么写：

图片.png

为什么是后者生效呢，因为默认的WebSecurityConfigurerAdapter里的@Order值是100（我们可以在该类上可以明确看到@Order(100)），而我们在ResourceServerConfigurerAdapter上添加了@EnableResourceServer注解，这个玩意儿是干什么用的呢？他其中之一就是定义了@Order值为3（该注解里引用了ResourceServerConfiguration，这个类里面定义了Order值）.在spring 的体系里Order值越小优先级越高，所以ResourceServerConfigurerAdapter优先级比另外一个更高，他会优先处理，而WebSecurityConfigurerAdapter会失效。

如果我们想让WebSecurityConfigurerAdapter比ResourceServerConfigurerAdapter优先级高的话，只须要让前者的@Order值比后者的@Order值更低就行了。

注意：我们每声明一个*Adapter类，都会产生一个filterChain。前面我们讲到一个request（匹配url）只能被一个filterChain处理，这就解释了为什么二者Adapter同时在的时候，前者默认为什么会失效的原因。我们可以在FilterChainProxy中的getFilters(HttpServletRequest request)方法中可以看到有哪些filter chain，并处理哪些url，例如：

图片.png

a.如果我们通过这种方式配置的话，requestMatcher值为显示No fields to display:

图片.png

b.如果通过这种方式配置的话，requestMatcher值为显示match到的url :/aa/**

图片.png

具体为什么，见下文。

他们之间的关系是什么？

他们所属的功能模块不同，前者spring security的，后者是spring security oauth2里的。他们都是Adapter，他们都会产生一个filter Chain，他们两者可以相互配合来对不同的Url进行权限控制。

但是，我们经常在写代码的时候经常会出现这种情况，当我们在做oauth2的时候，当把两个类同时放在项目的时候，都声明了对http url的不同处理，但是就是ResourceServerConfigurerAdapter会把的http配置信息完全被覆盖掉，最后形成了，所有的请求只会在ResourceServerConfigurerAdapter的fitler chain中处理，导致用户不知道这两者到底是怎么回事。

这其实是因为对spring security的配置不熟悉导致的，也就是antMatcher()``和authorizeRequests().antMatchers()。

让我们看两个例子：

例1：

图片.png
图片.png

上面这个例子，本意是想/api/* 端点须要被认证且要有USER权限;/user/**的端点须要被认证，但是最终的结果是WebSecurityConfigurerAdapter相关的配置信息没生效。

我们使用postman来测试一下：

图片.png 图片.png

从这结果我们可以看出来：/user/* 的端点没有被保护起来，/api/*的端点实际是被ResourceServerConfigurerAdapter产生的filter chain进行处理的。

这和我们想要的效果不一样呢，该怎么办呢，我们来看看例子2：

例2：

图片.png
图片.png

postman测试：

图片.png
图片.png

可以看出来/api/的端点实际是被ResourceServerConfigurerAdapter产生的filter chain进行处理的。而/user/ 的端点也被保护起来，但是这次被处理的是由WebSecurityConfigurerAdapter产生的filter chain进行处理的。

让我们来看stackoverflow上的解释：

图片.png

大体意思就是antMatcher()``是HttpSecurity的一个方法，他只告诉了Spring我只配置了一个我这个Adapter能处理哪个的url，它与authorizeRequests()没有任何关系。

然后使用authorizeRequests().antMatchers()是告诉你在antMatchers()中指定的一个或多个路径,比如执行permitAll()或hasRole()。他们在第一个http.antMatcher()匹配时就会生效。

所以，WebSecurityConfigurerAdapter与ResourceServerConfigurerAdapter同时使用，其实和spring security的多个HttpSecurity配置是一样的，原理也差不多是一样的。

用官方的例子：

图片.png

1、按照正常的方式配置验证

2、创建一个包含 @Order的 WebSecurityConfigurerAdapter实例来指定哪一个 WebSecurityConfigurerAdapter应该被首先考虑。

3、 http.antMatcher表明这个 HttpSecurity 只适用于以 /api/开头的URL。

4、创建另一个 WebSecurityConfigurerAdapter实例。如果URL没有以 /api/开头，这个配置将会被使用。这个配置在 ApiWebSecurityConfigurationAdapter 之后生效，因为其含有一个 @Order值为1.没有 @Order默认是最后一个生效。