淺析Spring Security登錄驗(yàn)證流程源碼

一、登錄認(rèn)證基于過(guò)濾器鏈

Spring Security的登錄驗(yàn)證流程核心就是過(guò)濾器鏈。當(dāng)一個(gè)請(qǐng)求到達(dá)時(shí)按照過(guò)濾器鏈的順序依次進(jìn)行處理，通過(guò)所有過(guò)濾器鏈的驗(yàn)證，就可以訪問(wèn)API接口了。

SpringSecurity提供了多種登錄認(rèn)證的方式，由多種Filter過(guò)濾器來(lái)實(shí)現(xiàn)，比如：

• BasicAuthenticationFilter實(shí)現(xiàn)的是HttpBasic模式的登錄認(rèn)證
• UsernamePasswordAuthenticationFilter實(shí)現(xiàn)用戶名密碼的登錄認(rèn)證
• RememberMeAuthenticationFilter實(shí)現(xiàn)登錄認(rèn)證的“記住我”的功能
• SmsCodeAuthenticationFilter實(shí)現(xiàn)短信驗(yàn)證碼登錄認(rèn)證
• SocialAuthenticationFilter實(shí)現(xiàn)社交媒體方式登錄認(rèn)證的處理
• Oauth3AuthenticationProcessingFilter和Oauth3ClientAuthenticationProcessingFilter實(shí)現(xiàn)Oauth3的鑒權(quán)方式
  

根據(jù)我們不同的需求實(shí)現(xiàn)及配置，不同的Filter會(huì)被加載到應(yīng)用中。

二、結(jié)合源碼講解登錄驗(yàn)證流程

我們就以用戶名、密碼登錄方式為例講解一下Spring Security的登錄認(rèn)證流程。

2.1 UsernamePasswordAuthenticationFilter

該過(guò)濾器封裝用戶基本信息（用戶名、密碼），定義登錄表單數(shù)據(jù)接收相關(guān)的信息。如：

• 默認(rèn)的表單用戶名密碼input框name是username、password
• 默認(rèn)的處理登錄請(qǐng)求路徑是/login、使用POST方法
  

2.2 AbstractAuthenticationProcessingFilter的doFilter方法的驗(yàn)證過(guò)程

UsernamePasswordAuthenticationFilter繼承自抽象類AbstractAuthenticationProcessingFilter，該抽象類定義了驗(yàn)證成功與驗(yàn)證失敗的處理方法。

2.3 驗(yàn)證成功之后的Handler和驗(yàn)證失敗之后的handler

也就是說(shuō)當(dāng)我們需要自定義驗(yàn)證成功或失敗的處理方法時(shí)，要去實(shí)現(xiàn)AuthenticationSuccessHandler或AuthenticationfailureHandler接口

三、登錄驗(yàn)證內(nèi)部細(xì)節(jié)

3.1多種認(rèn)證方式的管理 ProviderManager

ProviderManager用繼承于AuthenticationManager是登錄驗(yàn)證的核心類。ProviderManager保管了多個(gè)AuthenticationProvider，用于不同類型的登錄驗(yàn)證。比如：

• RememberMeAuthenticationProvider定義了“記住我”功能的登錄驗(yàn)證邏輯
• DaoAuthenticationProvider加載數(shù)據(jù)庫(kù)用戶信息，進(jìn)行用戶密碼的登錄驗(yàn)證

public class ProviderManager implements AuthenticationManager, MessageSourceAware, InitializingBean {
    ……
    private List<AuthenticationProvider> providers;
    ……

下文是ProviderManager的核心源碼，遍歷不同登錄驗(yàn)證的AuthenticationProvider，只有當(dāng)這種方式被支持的時(shí)候，才執(zhí)行具體的登錄驗(yàn)證邏輯。

3.2 登錄認(rèn)證接口 AuthenticationProvider

public interface AuthenticationProvider {
 Authentication authenticate(Authentication var1) throws AuthenticationException;
 boolean supports(Class<?> var1);
}

AuthenticationProvider的實(shí)現(xiàn)類定義了具體的登錄驗(yàn)證邏輯

3.3 數(shù)據(jù)庫(kù)加載用戶信息 DaoAuthenticationProvider

public class DaoAuthenticationProvider extends AbstractUserDetailsAuthenticationProvider {

從數(shù)據(jù)庫(kù)獲取用戶信息源碼

所以當(dāng)我們需要加載用戶信息進(jìn)行登錄驗(yàn)證的時(shí)候，我們需要實(shí)現(xiàn)UserDetailsService接口，重寫(xiě)loadUserByUsername方法，參數(shù)是用戶輸入的用戶名。返回值是UserDetails。

總結(jié)

以上所述是小編給大家介紹的Spring Security登錄驗(yàn)證流程源碼，希望對(duì)大家有所幫助，如果大家有任何疑問(wèn)請(qǐng)給我留言，小編會(huì)及時(shí)回復(fù)大家的。在此也非常感謝大家對(duì)億速云網(wǎng)站的支持！
如果你覺(jué)得本文對(duì)你有幫助，歡迎轉(zhuǎn)載，煩請(qǐng)注明出處，謝謝！