Springboot（十）springsecurity认证流程源码分析

你的名字 2023-06-25 07:59 19阅读 0赞

## 用户认证流程 ##

这里我们简单从springsecurity源码中分析用户认证流程

当用户发送登入请求首先会进入`UsernamePasswordAuthenticationFilter`并调用  
attemptAuthentication()方法获取用户名密码  
![在这里插入图片描述][20191227110911180.png]  
从源码我们可以看到获取的用户参数信息放在了UsernamePasswordAuthenticationToken对象中，  
在UsernamePasswordAuthenticationToken构造方法中，调用了父类的构造器并传入一个null，为什么是null呢？因为刚开始并没有认证，因此用户没有任何权限，并且设置没有认证的信息（setAuthenticated(false)）  
![在这里插入图片描述][20191227111033321.png]  
UsernamePasswordAuthenticationToken构建完成后继续执行  
this.getAuthenticationManager().authenticate(authRequest)

实际就是执行AuthenticationManager接口中的方法authenticate方法

AuthenticationManager接口实现类很多，这里会使用ProviderManager  
![在这里插入图片描述][20191227112359306.png]  
ProvideManager负责管理AuthenticationProvider，我们可以看到图中有很多的providers，可以有SocialAuthenticationProvider（第三方接入的时候专用，比如qq登录，微信登录等），AbstractUserDetailsAuthenticationProvider（我们配置的时候用到的）等等。其实真正执行的只有一个provider，那么究竟会选择哪一个provider，我们看到有一个supports方法。也就是根据上一步中的authentication的类型来做判断。  
![在这里插入图片描述][20191227112932656.png]  
如果支持则会进入AuthenticationProvider接口的抽象实现类AbstractUserDetailsAuthenticationProvider中调用 authenticate(Authentication authentication)方法对用户的身份进入校验。进入抽象类AbstractUserDetailsAuthenticationProvider的内部的authenticate方法之后，先会判断user是否为空，这个user是UserDetail的对象，如果为空，表示还没有认证，就需要调用retrieveUser方法去获取用户的信息，这个方法是抽象类AbstractUserDetailsAuthenticationProvider的扩展类DaoAuthenticationProvider的一个方法

![在这里插入图片描述][20191227113853870.png]  
在该扩展类的retrieveUser方法中调用UserDetailsService这个接口的实现类的loadUserByUsername方法去获取用户信息。![在这里插入图片描述][20191227114033262.png]  
而这里我自己编写了实现类MyUserDetail类，在这个实现类中，我们可以编写自己的逻辑，从数据库中获取用户密码等权限信息返回

![在这里插入图片描述][20191227114509111.png]  
![在这里插入图片描述][20191227123603431.png]  
在获取到用户信息后 继续回到AbstractUserDetailsAuthenticationProvider类中调用createSuccessAuthentication(principalToReturn, authentication, user)方法

![在这里插入图片描述][20191227123813275.png]

在该方法中会调用三个参数的UsernamePasswordAuthenticationToken构造器，不同于前面调用两个参数的，因为这里已经验证了用户的信息和权限，因此不再是给父类构造器中传null值了，而是用户的权限集合，并且设置认证通过（setAuthenticated(true)）

protected Authentication createSuccessAuthentication(Object principal, Authentication authentication, UserDetails user) { 
            UsernamePasswordAuthenticationToken result = new UsernamePasswordAuthenticationToken(principal, authentication.getCredentials(), 
            this.authoritiesMapper.mapAuthorities(user.getAuthorities()));
            result.setDetails(authentication.getDetails());
            return result;
        }

![在这里插入图片描述][20191227124305620.png]  
用户的所有权限  
在UsernamePasswordAuthenticationToken的父类中，它会检查用的权限，如果有一个为null，表示权限没有相应的权限，抛出异常  
![在这里插入图片描述][20191227124441777.png]

然后在createSuccessAuthentication方法返回后回到ProvioderManager的authenticate方法中返回result，最后回到UsernamePasswordAuthenticationFilter的刚开始进入的attemptAuthentication方法中返回

通过上面的源码我们已经深入源码了解到用户的具体认证流程。这里简单总结一下，首先当用户发送请求的时候，会进入到UsernamePasswordAuthenticationFilter中得到一个UsernamePasswordAuthenticationToken，它其实相当于一个令牌，不过还没有经过认证，然后调用AuthenticationManager的实现类ProviderManager中判断登录方式是否支持，如果支持，则会调用AuthenticationProvider接口的抽象实现类AbstractUserDetailsAuthenticationProvider中调用它的扩展类DaoAuthenticationProvider中获取我们自己实现的MyUserDetails类获取用户密码进行用户身份验证，然后返回该对象，设置UsernamePasswordAuthenticationToken这个令牌认证通过，用户身份校验成功

[参考][Link 1]

[20191227110911180.png]: https://img-blog.csdnimg.cn/20191227110911180.png
[20191227111033321.png]: https://img-blog.csdnimg.cn/20191227111033321.png
[20191227112359306.png]: https://img-blog.csdnimg.cn/20191227112359306.png
[20191227112932656.png]: https://img-blog.csdnimg.cn/20191227112932656.png
[20191227113853870.png]: https://img-blog.csdnimg.cn/20191227113853870.png
[20191227114033262.png]: https://img-blog.csdnimg.cn/20191227114033262.png
[20191227114509111.png]: https://img-blog.csdnimg.cn/20191227114509111.png
[20191227123603431.png]: https://img-blog.csdnimg.cn/20191227123603431.png
[20191227123813275.png]: https://img-blog.csdnimg.cn/20191227123813275.png
[20191227124305620.png]: https://img-blog.csdnimg.cn/20191227124305620.png
[20191227124441777.png]: https://img-blog.csdnimg.cn/20191227124441777.png
[Link 1]: https://blog.csdn.net/qq_37142346/article/details/80032336