本文主要是记录自己学习Spring Security过程中的收获及思考，希望大家能一同学习，提出问题一同讨论进步；
该章节主要是通过阅读Spring Security官网介绍的一些感悟，内容比较简单，官网网址：https://docs.spring.io/spring-security/site/docs/5.3.1.BUILD-SNAPSHOT/reference/html5/#modules

Spring Security主要是基于servlet中的过滤器来实现各种功能，而原理上servlet容器和Spring管理的bean的容器之间是互相独立不可见的。因而Spring Security引入了DelegatingFilterProxy来实现在servlet的filter中实现与Spring 容器之间的沟通。DelegatingFilterProxy还解决了一个问题：DelegatingFilterProxy可以延迟加载其中的bean，spring一般使用contextLoaderLinstener来加载Spring beans， 而这一操作直到filter实例注册完成才会接数，而容器只有在Filter实例注册后才能启动，因而使用DelegatingFilterProxy的延迟搜索可以解决这个问题。

DelegatingFilterProxy会在ApplicationContext中去搜索fiter bean，使用

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) {// Lazily get Filter that was registered as a Spring Bean// For the example in DelegatingFilterProxy delegate is an instance of Bean Filter0Filter delegate = getFilterBean(someBeanName);// delegate work to the Spring Beandelegate.doFilter(request, response);
}

既然能够在DelegatingFilterProxy中插入bean，实际上我们就可以进行更多的操作。spring security的servlet通过FilterChainProxy和SecurityFilterChain实现了往DelegatingFilterProxy中插入多个filter的功能，FilterChainProxy是security 提供的一种特殊的filter。
SecurityFilterChain中包含了多种自定义的filter bean，这些bean不直接注册到DelegatingFilterProxy下，而是注册到SecurityFilterChain中主要是为了：1.SecurityFilterChain可以作为spring security的起点，在这里插入断点更加容易进行调试（因为所有的filter都从此开始）；2.FilterChainProxy中可以执行一些非可选的操作，如清空SecurityContext 来避免内存溢出。同时也可以用来作为spring security的HttpFirewall来完成对一些公击的抵抗；3.通过组合不同的filter到不同的SecurityFilterChain中，可以实现灵活的选择某些过滤器生效。（这应该才是最重要的原因把）实质上就实现了，根据不同request path，选用不同的filters组，即SecurityFilterChain。

Spring security其实自带了许多security filter，他们自身带有一定的顺序。
• ChannelProcessingFilter
• ConcurrentSessionFilter
• WebAsyncManagerIntegrationFilter
• SecurityContextPersistenceFilter
• HeaderWriterFilter
• CorsFilter
• CsrfFilter
• LogoutFilter
• OAuth2AuthorizationRequestRedirectFilter
• Saml2WebSsoAuthenticationRequestFilter
• X509AuthenticationFilter
• AbstractPreAuthenticatedProcessingFilter
• CasAuthenticationFilter
• OAuth2LoginAuthenticationFilter
• Saml2WebSsoAuthenticationFilter
• UsernamePasswordAuthenticationFilter
• ConcurrentSessionFilter
• OpenIDAuthenticationFilter
• DefaultLoginPageGeneratingFilter
• DefaultLogoutPageGeneratingFilter
• DigestAuthenticationFilter
• BearerTokenAuthenticationFilter
• BasicAuthenticationFilter
• RequestCacheAwareFilter
• SecurityContextHolderAwareRequestFilter
• JaasApiIntegrationFilter
• RememberMeAuthenticationFilter
• AnonymousAuthenticationFilter
• OAuth2AuthorizationCodeGrantFilter
• SessionManagementFilter
• ExceptionTranslationFilter
• FilterSecurityInterceptor
• SwitchUserFilter

而这其中，ExceptionTranslationFilter也是我们会接触比较多的filter，它位于调用顺序的尾部，他主要处理 AccessDeniedException 和AuthenticationException 产生的问题，并将自定义的结果返回到reponse中，该方法实际上包含了调用链，所有在其后过滤器中发生了这两类报错也会被这边catch到。

try {filterChain.doFilter(request, response); 
} catch (AccessDeniedException | AuthenticationException e) {if (!authenticated || e instanceof AuthenticationException) {startAuthentication(); } else {accessDenied(); }
}