spring security 执行流程

### Spring Security 的工作机制和执行顺序

Spring Security 使用基于 Servlet 过滤器链的方式保护 Web 应用程序的安全性。当客户端发起 HTTP 请求时，该请求会通过一系列由 Spring Security 提供的过滤器处理，在这些过滤器之间传递控制权直到最终到达目标资源。

#### 安全上下文持久化阶段
一旦接收到新的HTTP请求，`SecurityContextPersistenceFilter` 将负责初始化 `SecurityContextHolder` 中存储的安全上下文对象实例。如果存在有效的会话，则尝试从中恢复之前保存过的身份验证信息并将其关联到当前线程上[^4]。

#### 认证过程
对于未登录用户的受保护页面访问请求，通常会被重定向至登录表单界面；而提交后的用户名密码数据则交由特定类型的认证处理器（如 `UsernamePasswordAuthenticationToken` 对象）来完成实际的身份校验工作。此过程中可能涉及到多个不同的 `AuthenticationProvider` 实现类参与决策逻辑判断[^3]。

#### 授权检查环节
成功建立用户会话之后，后续每次请求都会再次经历一轮完整的权限评估流程——即根据已知的角色列表以及业务规则定义去决定是否允许继续前进还是返回拒绝响应码给前端展示错误提示信息等操作行为。这期间可能会调用自定义编写的 `AccessDecisionManager` 或者默认内置版本来进行细粒度级别的许可判定任务。

// 示例代码片段：配置HttpSecurity启用基本功能模块
http.authorizeRequests()
    .antMatchers("/admin/**").hasRole("ADMIN") // 设置路径匹配模式及其对应所需角色等级要求
    .anyRequest().authenticated()             // 所有其他请求均需经过身份验证才能放行
    .and()
    .formLogin();                             // 开启标准HTML表单方式登录支持

在整个交互周期内，各个关键节点上的事件监听器也可以被注册进来用于捕获异常状况发生时刻的日志记录或是触发额外的通知动作等功能扩展用途。