我们已经简要了解了FilterSecurityInterceptor，在简要讨论访问控制的时候 （见#tech-intro-access-control），我们也已经在命名空间中使用过它， <intercept-url>元素的结合在内部对它进行了配置。 现在我们会看如何精确的配置它，使用FilterChainProxy， 通过结合ExceptionTranslationFilter过滤器。 一个典型的配置例子如下：

<bean id="filterSecurityInterceptor"
        class="org.springframework.security.intercept.web.FilterSecurityInterceptor">
  <property name="authenticationManager" ref="authenticationManager"/>
  <property name="accessDecisionManager" ref="accessDecisionManager"/>
  <property name="securityMetadataSource">
    <security:filter-security-metadata-source>
      <security:intercept-url pattern="/secure/super/**" access="ROLE_WE_DONT_HAVE"/>
      <security:intercept-url pattern="/secure/**" access="ROLE_SUPERVISOR,ROLE_TELLER"/>
    </security:filter-security-metadata-source>
  </property>
</bean>

FilterSecurityInterceptor负责处理HTTP资源的安全。 它需要一个AuthenticationManager和 AccessDecisionManager的引用。 它也需要不同HTTP URL请求的配置属性。 引用回#tech-intro-config-attributes这里可以看到原始信息。

FilterSecurityInterceptor可是通过两种方式定义配置属性。 第一种，向上面演示的，使用<filter-security-metadata-source> 命名空间元素。这和用来配置FilterChainProxy 的<filter-chain-map>一样，但是使用的是 <intercept-url>子元素，只使用pattern 和access属性。逗号用来分隔不同的配置属性，对于每个HTTP URL。 第二个选择是编写你自己的SecurityMetadataSource， 但是这超越了我们的文档的范围。根据使用的方式， SecurityMetadataSource负责返回一个包含了所有配置属性 的List<ConfigAttribute>，它分配给一个单独的安全HTTP URL。

应该注意的是FilterSecurityInterceptor.setSecurityMetadataSource()方法 其实需要一个FilterSecurityMetadataSource实例。 这是一个标记接口，它是 SecurityMetadataSource的子类。 它只标记了SecurityMetadataSource需要 FilterInvocation。对于相似感兴趣，我们会继续引用 FilterInvocationDefinitionSource作为一个 SecurityMetadataSource，作为区别大多数用户的微笑相关不同。

SecurityMetadataSource通过命名空间获得配置属性， 为一个特定的 FilterInvocation，通过匹配请求URL，对于 配置好的pattern属性。这个行为和它在命名空间中配置的一样。 默认使用apache ant path的方式来处理所有表达式，也支持正则表达式来支持更复杂的请求。 这个path-type属性用来指定模式使用的类型。 它不可能在同一个定义中使用多个表达式语法的复合结构。作为一个例子，上面的配置使用正则表达式 替换了ant path，可以写成下面这样：

<bean id="filterInvocationInterceptor"
     class="org.springframework.security.intercept.web.FilterSecurityInterceptor">
  <property name="authenticationManager" ref="authenticationManager"/>
  <property name="accessDecisionManager" ref="accessDecisionManager"/>
  <property name="runAsManager" ref="runAsManager"/>
  <property name="securityMetadataSource">
    <security:filter-security-metadata-source path-type="regex">
      <security:intercept-url pattern="\A/secure/super/.*\Z" access="ROLE_WE_DONT_HAVE"/>
      <security:intercept-url pattern="\A/secure/.*\" access="ROLE_SUPERVISOR,ROLE_TELLER"/>
    </security:filter-security-metadata-source>
  </property>
</bean>        

模式总是根据他们定义的顺序进行执行。因此很重要的是，把更确定的模式定义到列表的上面。 这会反映在你上面的例子中，更确定的/secure/super/模式放在，没那么确定的 /secure/模式的上面。如果它们被反转了。/secure/会一直 被匹配，/secure/super/就永远也不会执行。

ExceptionTranslationFilter处在 FilterSecurityInterceptor的上面。 它不执行任何真正的安全控制，但是处理安全监听器抛出的一场， 提供对应的HTTP响应。

<bean id="exceptionTranslationFilter"
     class="org.springframework.security.web.access.ExceptionTranslationFilter">
  <property name="authenticationEntryPoint" ref="authenticationEntryPoint"/>
  <property name="accessDeniedHandler" ref="accessDeniedHandler"/>
</bean>

<bean id="authenticationEntryPoint"
     class="org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint">
  <property name="loginFormUrl" value="/login.jsp"/>
</bean>

<bean id="accessDeniedHandler"
     class="org.springframework.security.web.access.AccessDeniedHandlerImpl">
  <property name="errorPage" value="/accessDenied.htm"/>
</bean>

我们介绍了所有重要的过滤器，在技术概述一章， 所以你可能希望重新阅读以下这些章节。让我们首先看一下如何使用 FilterChainProxy配置它们。 一个基本的配置需要bean自己

<bean id="securityContextPersistenceFilter"
    class="org.springframework.security.web.context.SecurityContextPersistenceFilter"/>
    

像我们之前看到的，这个过滤器有两个主要的任务，它负责保存在不同的HTTP请求之间 SecurityContext，负责清理在请求完成时 SecurityContextHolder。 清理上下文中保存的ThreadLocal是很基本的，因为它可能 是servlet容器线程池中的一个替换的thread，这样spring security对应一个特定用户 可能出现冲突。这个线程可能被下一个阶段使用，执行操作的时候就会使用错误的证书。

public interface SecurityContextRepository {
  SecurityContext loadContext(HttpRequestResponseHolder requestResponseHolder);
  void saveContext(SecurityContext context, HttpServletRequest request,
         HttpServletResponse response);
}

<bean id="securityContextPersistenceFilter"
    class="org.springframework.security.web.context.SecurityContextPersistenceFilter">
  <property name='securityContextRepository'>
    <bean class='org.springframework.security.web.context.HttpSessionSecurityContextRepository'>
      <property name='allowSessionCreation' value='false' />
    </bean>
  </property>
</bean>
    

我现在看到了三个主要的过滤器，它们会一直在spring security的web配置中起作用。 它们也是由命名空间<http>元素自动创建的三个，它们是无法修改的。 唯一丢失的是一个真正的认证机制，它们会执行一个用户的认证。这个过滤器是最常用的认证过滤器， 这个过滤器也通常需要自定义。 ^[8]. 它也提供了使用<form-login>元素的实现，来自命名空间。 有三个阶段需要配置它。

登陆表单简单包含了j_username和j_password输入框， 提交由过滤器管理的URL，（默认为：/j_spring_security_check）. 基本的过滤器配置看起来像这样：

<bean id="authenticationFilter" class=
"org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter">
  <property name="authenticationManager" ref="authenticationManager"/>
  <property name="filterProcessesUrl" value="/j_spring_security_check"/>
</bean>