Spring Security的Web基础结构完全基于标准的servlet过滤器。它不在内部使用servlet或任何其他基于servlet的框架（例如Spring MVC），因此它没有与任何特定Web技术的强大链接。它处理`HttpServletRequest`和`HttpServletResponse`，并不关心请求是来自浏览器，Web服务客户端，`HttpInvoker`还是AJAX应用程序。 Spring Security在内部维护一个过滤器链，其中每个过滤器都有特定的责任，并根据所需的服务在配置中添加或删除过滤器。过滤器的顺序很重要，因为它们之间存在依赖关系。如果您一直在使用命名空间配置，那么将自动为您配置过滤器，您不必明确定义任何Spring bean，但有时候您希望完全控制安全过滤器链，因为您正在使用功能命名空间中不支持，或者您使用自己的自定义版本的类。