一、登錄認證基于過濾器鏈

Spring Security的登錄驗證流程核心就是過濾器鏈。當(dāng)一個請求到達時按照過濾器鏈的順序依次進行處理，通過所有過濾器鏈的驗證，就可以訪問API接口了。

SpringSecurity提供了多種登錄認證的方式，由多種Filter過濾器來實現(xiàn)，比如：

• BasicAuthenticationFilter實現(xiàn)的是HttpBasic模式的登錄認證
• UsernamePasswordAuthenticationFilter實現(xiàn)用戶名密碼的登錄認證
• RememberMeAuthenticationFilter實現(xiàn)登錄認證的“記住我”的功能
• SmsCodeAuthenticationFilter實現(xiàn)短信驗證碼登錄認證
• SocialAuthenticationFilter實現(xiàn)社交媒體方式登錄認證的處理
• Oauth2AuthenticationProcessingFilter和Oauth2ClientAuthenticationProcessingFilter實現(xiàn)Oauth2的鑒權(quán)方式
  

根據(jù)我們不同的需求實現(xiàn)及配置，不同的Filter會被加載到應(yīng)用中。

二、結(jié)合源碼講解登錄驗證流程

我們就以用戶名、密碼登錄方式為例講解一下Spring Security的登錄認證流程。

2.1 UsernamePasswordAuthenticationFilter

該過濾器封裝用戶基本信息（用戶名、密碼），定義登錄表單數(shù)據(jù)接收相關(guān)的信息。如：

• 默認的表單用戶名密碼input框name是username、password
• 默認的處理登錄請求路徑是/login、使用POST方法
  

2.2 AbstractAuthenticationProcessingFilter的doFilter方法的驗證過程

UsernamePasswordAuthenticationFilter繼承自抽象類AbstractAuthenticationProcessingFilter，該抽象類定義了驗證成功與驗證失敗的處理方法。

2.3 驗證成功之后的Handler和驗證失敗之后的handler

也就是說當(dāng)我們需要自定義驗證成功或失敗的處理方法時，要去實現(xiàn)AuthenticationSuccessHandler或AuthenticationfailureHandler接口

三、登錄驗證內(nèi)部細節(jié)

3.1多種認證方式的管理 ProviderManager

ProviderManager用繼承于AuthenticationManager是登錄驗證的核心類。ProviderManager保管了多個AuthenticationProvider，用于不同類型的登錄驗證。比如：

• RememberMeAuthenticationProvider定義了“記住我”功能的登錄驗證邏輯
• DaoAuthenticationProvider加載數(shù)據(jù)庫用戶信息，進行用戶密碼的登錄驗證

public class ProviderManager implements AuthenticationManager, MessageSourceAware, InitializingBean {
    ……
    private List<AuthenticationProvider> providers;
    ……

下文是ProviderManager的核心源碼，遍歷不同登錄驗證的AuthenticationProvider，只有當(dāng)這種方式被支持的時候，才執(zhí)行具體的登錄驗證邏輯。

3.2 登錄認證接口 AuthenticationProvider

public interface AuthenticationProvider {
 Authentication authenticate(Authentication var1) throws AuthenticationException;
 boolean supports(Class<?> var1);
}

AuthenticationProvider的實現(xiàn)類定義了具體的登錄驗證邏輯

3.3 數(shù)據(jù)庫加載用戶信息 DaoAuthenticationProvider

public class DaoAuthenticationProvider extends AbstractUserDetailsAuthenticationProvider {

從數(shù)據(jù)庫獲取用戶信息源碼

所以當(dāng)我們需要加載用戶信息進行登錄驗證的時候，我們需要實現(xiàn)UserDetailsService接口，重寫loadUserByUsername方法，參數(shù)是用戶輸入的用戶名。返回值是UserDetails。

總結(jié)

以上所述是小編給大家介紹的Spring Security登錄驗證流程源碼，希望對大家有所幫助，如果大家有任何疑問請給我留言，小編會及時回復(fù)大家的。在此也非常感謝大家對腳本之家網(wǎng)站的支持！
如果你覺得本文對你有幫助，歡迎轉(zhuǎn)載，煩請注明出處，謝謝！

最新評論