一、过滤器链

过滤器链是Spring Security的核心，它在请求到达应用程序之前对其进行拦截，以便进行身份验证和授权等操作。过滤器链由多个过滤器组成，每个过滤器负责一个特定的安全任务，例如身份验证、授权、会话管理等。过滤器链中的过滤器按照顺序依次执行，直到最后一个过滤器完成请求的处理。

Spring Security的过滤器链包括以下几个过滤器：

ChannelProcessingFilter：该过滤器用于强制使用HTTPS协议或HTTP协议，可以防止恶意攻击者通过中间人攻击窃取用户的身份验证凭据。
SecurityContextPersistenceFilter：该过滤器用于在请求之间保持安全上下文，以便在请求处理过程中获取当前用户的身份验证凭据和授权信息。
ConcurrentSessionFilter：该过滤器用于限制用户的会话数，可以防止恶意攻击者利用多个会话同时登录应用程序。
LogoutFilter：该过滤器用于处理用户注销请求，可以清除当前用户的身份验证凭据和会话信息。
UsernamePasswordAuthenticationFilter：该过滤器用于处理基于表单的身份验证请求，可以从请求中获取用户名和密码，并使用身份验证管理器进行身份验证。
DefaultLoginPageGeneratingFilter：该过滤器用于生成基于表单的登录页面，包括用户名和密码输入框、登录按钮等。
DefaultLogoutPageGeneratingFilter：该过滤器用于生成注销页面，包括注销按钮等。
FilterSecurityInterceptor：该过滤器用于进行授权，可以根据当前用户的角色和权限来决定是否允许访问请求的资源。

开发人员可以通过配置文件或Java代码来自定义过滤器链，以满足特定的安全需求。

二、安全注解

@Secured注解

@Secured注解用于保护方法或类，可以指定允许访问该方法或类的角色或权限。示例代码如下：

@Secured("ROLE_ADMIN")
public void deleteOrder(int orderId) {// 删除订单的逻辑
}

在这个例子中，只有具有"ROLE_ADMIN"角色的用户才能调用deleteOrder方法。如果非管理员用户尝试调用该方法，则会抛出AccessDeniedException异常。

@PreAuthorize和@PostAuthorize注解

@PreAuthorize和@PostAuthorize注解用于保护方法或类，可以在方法调用之前或之后进行安全检查，可以指定允许访问该方法或类的角色或权限。示例代码如下：

@PreAuthorize("hasRole('ROLE_ADMIN')")
public void deleteOrder(int orderId) {// 删除订单的逻辑
}@PostAuthorize("returnObject.owner == authentication.name")
public Order getOrderById(int orderId) {// 根据订单ID获取订单的逻辑
}

在这个例子中，@PreAuthorize注解指定只有具有"ROLE_ADMIN"角色的用户才能调用deleteOrder方法，@PostAuthorize注解指定只有订单的owner属性与当前用户的名称匹配的用户才能调用getOrderById方法。

@PreFilter和@PostFilter注解

@PreFilter和@PostFilter注解用于保护方法或类，可以在方法调用之前或之后对集合进行过滤，以确保只有满足特定条件的元素才能被访问或返回。示例代码如下：

@PreFilter("hasRole('ROLE_ADMIN') or filterObject.owner == authentication.name")
public void deleteOrders(List<Order> orders) {// 删除订单的逻辑
}@PostFilter("filterObject.owner == authentication.name")
public List<Order> getOrders() {// 获取订单列表的逻辑
}

在这个例子中，@PreFilter注解指定只有具有"ROLE_ADMIN"角色的用户或订单的owner属性与当前用户的名称匹配的用户才能调用deleteOrders方法，@PostFilter注解指定只有订单的owner属性与当前用户的名称匹配的订单才能被返回。