SpringSecurity 认证流程

清疚 2023-10-16 09:52 72阅读 0赞

#### 文章目录 ####

*  前言
 *  认证入口（过滤器）
 *  认证管理器
 *   *  认证器说明
     *  默认认证器的实现
 *  总结

## 前言 ##

通过[上文][Link 1]了解SpringSecurity核心组件后，就可以进一步了解其认证的实现流程了。

## 认证入口（过滤器） ##

在SpringSecurity中处理认证逻辑是在`UsernamePasswordAuthenticationFilter`这个过滤器中实现的。`UsernamePasswordAuthenticationFilter`继承于`AbstractAuthenticationProcessingFilter`这个父类。

![image.png][]

而在`UsernamePasswordAuthenticationFilter`没有实现doFilter方法，所以认证的逻辑需要先看`AbstractAuthenticationProcessingFilter`中的doFilter方法。

![image.png][image.png 1]

上面的核心代码是

Authentication authenticationResult = attemptAuthentication(request, response);

`attemptAuthentication`方法的作用是获取`Authentication`对象对应的其实就是认证过程，进入到`UsernamePasswordAuthenticationFilter`中来查看具体的实现。

@Override
    	public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)
    			throws AuthenticationException {
        
    		if (this.postOnly && !request.getMethod().equals("POST")) {
        
    			throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());
    		}
    		String username = obtainUsername(request);
    		username = (username != null) ? username : "";
    		username = username.trim();
    		String password = obtainPassword(request);
    		password = (password != null) ? password : "";
    		UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(username, password);
    		// Allow subclasses to set the "details" property
    		setDetails(request, authRequest);
    		return this.getAuthenticationManager().authenticate(authRequest);
    	}

上面代码的含义非常清晰

1.  该方法只支持POST方式提交的请求
2.  获取账号和密码
3.  通过账号密码获取了`UsernamePasswordAuthenticationToken`对象
4.  设置请求的详细信息
5.  通过`AuthenticationManager`来完成认证操作

在上面的逻辑中出现了一个对象`AuthenticationManager`

## 认证管理器 ##

`AuthenticationManager`接口中就定义了一个方法`authenticate`方法，处理认证的请求。

public interface AuthenticationManager {
        
    
    	Authentication authenticate(Authentication authentication) throws AuthenticationException;
    
    }

### 认证器说明 ###

`AuthenticationManager`的默认实现是`ProviderManager`，而在`ProviderManager`的`authenticate`方法中实现的操作是循环遍历成员变量`List<AuthenticationProvider> providers`。该`providers`中如果有一个`AuthenticationProvider`的`supports`函数返回true，那么就会调用该`AuthenticationProvider`的`authenticate`函数认证，如果认证成功则整个认证过程结束。如果不成功，则继续使用下一个合适的`AuthenticationProvider`进行认证，只要有一个认证成功则为认证成功。

![image.png][image.png 2]

在当前环境下默认的实现提供是

![image.png][image.png 3]

### 默认认证器的实现 ###

进入到`AbstractUserDetailsAuthenticationProvider`中的认证方法

![image.png][image.png 4]

然后进入到`retrieveUser`方法中，具体的实现是`DaoAuthenticationProvider`，`getUserDetailsService`会获取到我们自定义的`UserServiceImpl`对象，也就是会走我们自定义的认证方法了。

@Override
    	protected final UserDetails retrieveUser(String username, UsernamePasswordAuthenticationToken authentication)
    			throws AuthenticationException {
        
    		prepareTimingAttackProtection();
    		try {
        
         
    			UserDetails loadedUser = this.getUserDetailsService().loadUserByUsername(username);
    			if (loadedUser == null) {
        
    				throw new InternalAuthenticationServiceException(
    						"UserDetailsService returned null, which is an interface contract violation");
    			}
    			return loadedUser;
    		}
    		catch (UsernameNotFoundException ex) {
        
    			mitigateAgainstTimingAttack(authentication);
    			throw ex;
    		}
    		catch (InternalAuthenticationServiceException ex) {
        
    			throw ex;
    		}
    		catch (Exception ex) {
        
    			throw new InternalAuthenticationServiceException(ex.getMessage(), ex);
    		}
    	}

如果账号存在就会开始密码的验证，不过在密码验证前还是会完成一个检查

![image.png][image.png 5]

![image.png][image.png 6]

然后就是具体的密码验证

additionalAuthenticationChecks(user, (UsernamePasswordAuthenticationToken) authentication);

具体的验证的逻辑

protected void additionalAuthenticationChecks(UserDetails userDetails,
    			UsernamePasswordAuthenticationToken authentication) throws AuthenticationException {
        
            // 密码为空
    		if (authentication.getCredentials() == null) {
        
    			this.logger.debug("Failed to authenticate since no credentials provided");
    			throw new BadCredentialsException(this.messages
    					.getMessage("AbstractUserDetailsAuthenticationProvider.badCredentials", "Bad credentials"));
    		}
            // 获取表单提交的密码
    		String presentedPassword = authentication.getCredentials().toString();
    		// 表单提交的密码和数据库查询的密码 比较是否相对
    		if (!this.passwordEncoder.matches(presentedPassword, userDetails.getPassword())) {
        
    			this.logger.debug("Failed to authenticate since password does not match stored value");
    			throw new BadCredentialsException(this.messages
    					.getMessage("AbstractUserDetailsAuthenticationProvider.badCredentials", "Bad credentials"));
    		}
    	}

上面的逻辑会通过对应的密码编码器来处理，如果是非加密的情况会通过NoOpPasswordEncoder来处理

public boolean matches(CharSequence rawPassword, String encodedPassword) {
        
            return rawPassword.toString().equals(encodedPassword);
        }

![image.png][image.png 7]

如果有加密处理，就选择对应的加密对象来处理，比如[SpringSecurity 入门][SpringSecurity]使用的BCryptPasswordEncoder来处理

![image.png][image.png 8]

## 总结 ##

Spring Security认证流程：

1.  请求首先会进入过滤器，它的作用在于验证系统设置受限资源的过滤器。
2.  请求被过滤器接收后，会将其传递给AuthenticationProvider。AuthenticationProvider需要用户的信息以及UserDetailsService的认证实现方式。
3.  UserDetailsService是被UserDetail继承的，UserDetail封装了User用户信息。在这个阶段，用户信息被封装进AuthenticationProvider。
4.  接着，封装了用户信息的AuthenticationProvider会被传递给AuthenticationManager中的ProviderManager。  
    ProviderManager会对AuthenticationProvider进行再次审核，最终返回过滤器。

通过Spring Security的认证实现，可以看到虽然代码简洁明了，但是其扩展性极强。Spring Security支持多种认证和授权机制，包括用户名密码认证、JWT令牌认证、OAuth2认证等等。同时，Spring Security还提供了多种默认配置，可以根据需要进行调整和扩展。

[Link 1]: https://wangbinguang.blog.csdn.net/article/details/132977833
[image.png]: https://img-blog.csdnimg.cn/img_convert/2c6551243999c69cb76a8eee170830b7.png
[image.png 1]: https://img-blog.csdnimg.cn/img_convert/fb1ebdf832072cadd7417df2a20a0a29.png
[image.png 2]: https://img-blog.csdnimg.cn/img_convert/112910bb500327ad8fdd18bf99b97db4.png
[image.png 3]: https://img-blog.csdnimg.cn/img_convert/c3560791f41063fd0ee63d9a8c667c1d.png
[image.png 4]: https://img-blog.csdnimg.cn/img_convert/ea5f99650b2ec238a69248dde3d2db46.png
[image.png 5]: https://img-blog.csdnimg.cn/img_convert/7d57a54503b5142de32af26aacceb95b.png
[image.png 6]: https://img-blog.csdnimg.cn/img_convert/2a109258157afd0bc136156c808d47a8.png
[image.png 7]: https://img-blog.csdnimg.cn/img_convert/5a93d1f8d43f6ed7dbcb84783897a5b2.png
[SpringSecurity]: https://wangbinguang.blog.csdn.net/article/details/132970355
[image.png 8]: https://img-blog.csdnimg.cn/img_convert/07741da0a8c67e5e3a06f6a785ba3324.png