1-SpringSecurity核心功能
1.认证
什么是认证：
SpringSecurity作为一款成熟的鉴权框架，目前支持的认证机制非常的全，这里我们可以简单了解一下：
● 表单认证
● OAuth2.0认证
● SAML2.0认证
● CAS认证
● RememberMe 自动认证
● JAAS认证
● OpenID 去中心化认证
● X509认证
● Http Basic认证
● Http Digest认证
而SpringSecurity不仅可以支持上面的认证机制，还可以通过引入第三方依赖支持更多认证方式，同时也允许用户自定义认证逻辑（这个我们后面会讲）。
2.鉴权
基于上面的多种认证方式（实际那种认证都不影响鉴权），SpringSecurity支持基于URL的请求授权、方法访问授权、支持SPEL表达式访问控制、支持ACL自定义对象安全，同时支持动态授权配置、支持RBAC权限模型，简单一句话：基本没有SpringSecurity做不了的鉴权。
3.其他
除了熟知的认证、授权两个核心功能，SpringSecurity还可以自动防御很多网络攻击，如CSRF攻击等，可参照：
https://www.yuque.com/yzxb/index/py8ihz2gghkcaht0
2-SpringSecurity核心架构
SpringSecurity的种种功能，都是基于过滤器实现的，这些过滤器根据默认或用户指定的顺序（@Order注解或实现Ordered接口）排列，形成一个过滤器链。
1.过滤链
SpringSecurity的功能实现关键就是依赖过滤器链
Spring Security 的 Servlet 支持是基于 Servlet Filter 的，因此首先大致了解一下 Filter 的作用是有帮助的。下图显示了单个 HTTP 请求的处理程序的典型分层：
