SpringSecurity(一)

ゞ浴缸里的玫瑰 2023-07-23 03:37 25阅读 0赞

### 文章目录 ###

*  一、结构总览
 *  二、认证流程
 *   *  2.1 Authentication
     *  2.2 AuthenticationProvider
     *  2.3 UserDetailsService
     *  2.4 UserDetails
     *  2.5 PasswordEncoder

# 一、结构总览 #

`Spring Security`所解决的问题就是安全访问控制，而安全访问控制功能其实就是对所有进入系统的请求进行拦截，校验每个请求是否能够访问它所期望的资源。`Spring Security`对Web资源的保护是靠`Filter`实现的。

当初始化`Spring Security`时，会创建一个`SpringSecurityFilterChain`的过滤器，类型为`org.springframework.security.web.FilterChainProxy`,它实现了`javax.servlet.Filter`,因此外部的请求会经过此类。`FilterChainProxy`是一个代理，真正起作用的是`FilterChainProxy`中`SecurityFilterChain`所包含的各个`Filter`。同时这些`Filter`作为`Bean`被`Spring`管理，他们是`Spring Security`的核心。但它们并不直接处理用户的认证和授权，而是把它们交给了认证管理器(`AuthenticationManager`)和决策管理器(`AccessDecisionManage`)进行处理。下图是`FilterChainProxy`相关内的UML图示：  
![在这里插入图片描述][20200406173543474.png]  
`Spring Security`功能的实现主要由一系列过滤器链相互配合完成：

![SpringSecurity中的FilterChain][SpringSecurity_FilterChain]  
主要`Filter`作用介绍：

<table> 
 <thead> 
  <tr> 
   <th>名称</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>SecurityContextPersistenceFilter</td> 
   <td>这个Filter是整个拦截过程的入口和出口，会在请求开始时从配置好的 SecurityContextRepository 中获取 SecurityContext，然后把它设置给 SecurityContextHolder。在请求完成后将 SecurityContextHolder 持有的 SecurityContext 再保存到配置好 的 SecurityContextRepository，同时清除 securityContextHolder 所持有的 SecurityContext；</td> 
  </tr> 
  <tr> 
   <td>UsernamePasswordAuthenticationFilter</td> 
   <td>用于处理来自表单提交的认证。该表单必须提供对应的用户名和密 码，其内部还有登录成功或失败后进行处理的 AuthenticationSuccessHandler 和 AuthenticationFailureHandler，这些都可以根据需求做相关改变；</td> 
  </tr> 
  <tr> 
   <td>FilterSecurityInterceptor</td> 
   <td>是用于保护web资源的，使用AccessDecisionManager对当前用户进行授权访问，前 面已经详细介绍过了；</td> 
  </tr> 
  <tr> 
   <td>ExceptionTranslationFilter</td> 
   <td>能够捕获来自 FilterChain 所有的异常，并进行处理。但是它只会处理两类异常： AuthenticationException 和 AccessDeniedException，其它的异常它会继续抛出。</td> 
  </tr> 
 </tbody> 
</table>

# 二、认证流程 #

![SpringSecurity认证流程][SpringSecurity]

**认证过程步骤：**

①用户提交账号密码后，被`SecurityFilterChain`中的`UsernamePasswordAuthenticationFilter`过滤器获取到，封装为请求对象`Authentication`。

②然后过滤器将`Authentication`提交到认证管理器(`AuthenticationManager`)进行认证。

③认证成功后，`AuthenticationManager`身份管理器返回一个被填充了信息(身份、权限…)的`Authentication`实例。

④`SecurityContextHolder`容器将填充了信息的`Authentication`,通过`SecurityContextHolder.getContext.setAuthetication(...)`方法，设置到其中。

可以看出`AuthenticationManager`(认证管理器)接口是认证的核心接口，也是发起认证的出发点，它的实现类为`ProviderManager`。而`Spring Security`支持多种认证方式，因此`ProviderManager`维护着一个`List<AuthenticationProvider>`列表，存在多种认证方式，最终实际的认证工作是由`AuthenticationProvider`完成的。web表单的对应的`AuthenticationProvider`实现类为`DaoAuthenticationProvider`，它的内部又维护着一个`UserDetailService`负责`UserDetails`的获取，最终`AuthenticationProvider`将`UserDetails`填充至`Authentication`。

**认证核心组件的大体关系如下：**  
![在这里插入图片描述][20200406220930710.png]

## 2.1 Authentication ##

`Authentication`认证信息接口定义如下：

public interface Authentication extends Principal, Serializable { 
        Collection<? extends GrantedAuthority> getAuthorities();
        Object getCredentials();
        Object getDetails();
        Object getPrincipal();
        boolean isAuthenticated();
        void setAuthenticated(boolean var1) throws IllegalArgumentException;
    }

`Authentication`是`Spring Security`包中的接口，直接继承`Principal`是位于`java.security`包中的，它是表示着一个抽象主体身份，任何主体都有一个名称，因此包含一个`getName()`方法。

<table> 
 <thead> 
  <tr> 
   <th>抽象方法</th> 
   <th>简介</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>getAuthorities()</td> 
   <td>权限信息列表，默认是GrantedAuthority接口的一些，通常是代表权限信息的一系列字符串</td> 
  </tr> 
  <tr> 
   <td>getCredentials()</td> 
   <td>凭证信息，用户输入的密码字符串，在认证过后通常会被移除，以保障安全</td> 
  </tr> 
  <tr> 
   <td>getDetails()</td> 
   <td>细节信息，web应用中的实现接口通常为WebAuthenticationDetails，它记录了访问者的ip地址</td> 
  </tr> 
  <tr> 
   <td>getPrincipal()</td> 
   <td>身份信息，大部分情况下返回的是UserDetails接口的实现类，UserDetails代表用户的详细信息，从这个接口可以获取登录用户信息</td> 
  </tr> 
 </tbody> 
</table>

## 2.2 AuthenticationProvider ##

通过前面的认证流程可以知道，`AuthenticationManager`委托`AuthenticationProvider`完成认证工作。

`AuthenticationProvider`的接口定义如下：

public interface AuthenticationProvider { 
        Authentication authenticate(Authentication var1) throws AuthenticationException;
        boolean supports(Class<?> var1);
    }

`authenticate()`方法定义了认证的实现过程，参数是一个`Authentication`，里面包含了用户提交的用户、密码等。而返回值也是一个`Authentication`，这个`Authentication`则是在认证成功后，将用户的权限及其他信息重新组装后生成。

不同的认证方式使用不同的实现类的`AuthenticationProvider`，而每个`AuthenticationProvider`需要实现`support()`方法来表明自己支持的认证方式。如我们使用表单方式认证，在提交请求时`SpringSecurity`会生成`UsernamePasswordAutheticationToken`,它是一个`Authentication`。

## 2.3 UserDetailsService ##

`DaoAuthenticationProvider`处理了`Web`表单的认证逻辑，认证成功后得到一个`Authencation`(`UsernamePasswordAuthenticationToken`实现)，

`DaoAuthenticationProvider`中包含了一个`UserDetailsService`实例，它负责根据用户名提取用户信息`UserDetailService`实例，它负责根据用户名提取用户信息UserDetails(含密码)。 `DaoAuthenticationProvider`会去对比`UserDetailsService`提取的用户密码与用户提交的密码是否匹配作为认证成功的关键依据，因此可以通过自定义`UserDetailsService`的实现类来实现自定义的身份认证。

`UserDetailsService`接口定义：

public interface UserDetailsService { 
        UserDetails loadUserByUsername(String var1) throws UsernameNotFoundException;
    }

`UserDetailsService`只负责从特定的地方（通常是数据库）加载用户信息，仅此而已。而`DaoAuthenticationProvider`的职责更大，它完成完整的认证流程，同时会把`UserDetails`填充至`Authentication`。

## 2.4 UserDetails ##

`UserDetails`接口定义：

public interface UserDetails extends Serializable { 
        Collection<? extends GrantedAuthority> getAuthorities();
        String getPassword();
        String getUsername();
        boolean isAccountNonExpired();
        boolean isAccountNonLocked();
        boolean isCredentialsNonExpired();
        boolean isEnabled();
    }

它和`Authentication`接口很类似，比如它们都拥有`username`，`authorities`。`Authentication`的`getCredentials()`与`UserDetails`中的`getPassword()`需要被区分对待，前者是用户提交的密码凭证，后者是用户实际存储的密码，认证其实就是对这两者的比对。`Authentication`中的`getAuthorities()`实际是由`UserDetails`的`getAuthorities()`传递而形成的。`UserDetails`中用户详细信息(`Details`)便是经过了`AuthenticationProvider`认证之后被填充的。通过实现`UserDetailsService`和`UserDetails`，我们可以完成对用户信息获取方式以及用户信息字段的自定义。

`Spring Security`提供的`InMemoryUserDetailsManager`(内存认证)、`JdbcUserDetailsManager`(`jdbc`认证)就是`UserDetailsService`的实现类，主要区别内存和数据库加载用户。

## 2.5 PasswordEncoder ##

`DaoAuthenticationProvider`认证处理器通过`UserDetailsService`获取到`UserDetails`后，是怎么和`Authentication`中的密码做对比呢？

`Spring Security`为了适应多种多样的加密类型，`DaoAuthenticationProvider`通过`PasswordEncoder`接口的`matches`方法进行密码的对比，而具体的密码对比细节取决于`PasswordEncoder`接口的实现类：

public interface PasswordEncoder { 
        String encode(CharSequence var1);
        boolean matches(CharSequence var1, String var2);
        default boolean upgradeEncoding(String encodedPassword) { 
            return false;
        }
    }

`Spring Security`提供很多的`PasswordEncoder`的实现类，将`PasswordEncoder`注入到`IOC`容器即可：

@Configuration
    public class WebSecurityConfig { 
    
        @Bean
        public PasswordEncoder passwordEncoder() { 
            return NoOpPasswordEncoder.getInstance();
        }
    }

`NoOpPasswordEncoder`将用户输入的明文和数据库中的数据直接进行字符串对比。

实际项目中推荐使用`BCryptPasswordEncoder`、 `Pbkdf2PasswordEncoder`、`SCryptPasswordEncoder`等。使用这些`PasswordEncoder`，数据库中存储的密码需要经过对应的加密方式。

[20200406173543474.png]: /images/20230528/29d8a3a468eb470e83c3eb7cad0001ea.png
[SpringSecurity_FilterChain]: /images/20230528/8fe3750d58a0415683583b2ea3e560d8.png
[SpringSecurity]: /images/20230528/94d7ab1ed04d46ec8b5aa8e15b8e8648.png
[20200406220930710.png]: /images/20230528/52f50b88c79e4880b76317a1fae97bb8.png