Где находится Spring Security относительно DispatcherServlet и какова общая форма его цепочки фильтров?

Question

Accepted Answer

Spring Security полностью работает на уровне сервлетов `Filter` перед `DispatcherServlet`, а не внутри Spring MVC. Цепочка фильтров устанавливает/восстанавливает контекст безопасности, выполняет аутентификацию, преобразует исключения безопасности в правильный статус HTTP и, наконец, авторизует запрос еще до того, как он достигнет диспетчера.

## Пример

```java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

@Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable()) // stateless API - see CSRF section below
            .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/public/**").permitAll()
                .requestMatchers("/api/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated())
            .addFilterBefore(jwtAuthFilter(), UsernamePasswordAuthenticationFilter.class)
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}
```

## Итог

Spring Security полностью работает на уровне сервлетов `Filter` перед `DispatcherServlet`, а не внутри Spring MVC.