无标题文章

Spring Security认证系统浅析

标签：安全发布于 2017-05-26 12:42:47

Spring Security是个安全框架众所周知，同时也提供了一整套基于Web的认证机制和安全服务，当然如果你要通过其他协议的来实现安全服务，你也可以使用SpringSecurity来帮助你。

今天主要是讲解基于web端的安全认证机制，其他的留着以后有空再整理成博文。

首先SpringSecurity Web是基于它所提供的一整套Filter链来实现的，我们来看下它所提供的有哪些Filter：

在列表中可以看到，这些Filter链是有序的，而且自身所提供的Filter是无法更改顺序的，so what？？？当然，你都能任意更改顺序了，那我怎么能保证在不同的filter中拿到正确的数据呢，是吧？这些filter是SpringSecurity在启动时会默认注入到容器中的，你可以根据自身业务的需要在这些filter的before或after插入自己设计的filter。

那每一个Filter具体是做了什么工作，大家自行去查阅，这不是今天讲的重点，今天着重讲基于web的认证机制。

先来看看SpringSecurity中认证时的几个关键类：

org.springframework.security.web.context.SecurityContextRepository

org.springframework.security.web.context.SecurityContextPersistenceFilter

org.springframework.security.core.context.SecurityContextHolder

org.springframework.security.core.context.SecurityContextHolderStrategy

org.springframework.security.core.Authentication

首先来看下作为用户在login时的交互图，这个图确实太大了，已经尽量缩小了，但还是很大。

从图中我们可以看到，用户在请求服务时，首先会经过图中的SecurityContextPersistenceFilter（其实这个类在Filter链中是第二个被处理的），这个类是干嘛的呢，主要就是用于设置SecurityContext到SecurityContextHolder中，具体的我们通过图和源码一点点分析

首先看看SecurityContextPersistenceFilter.class

Java代码

Authentication authResult;

try{

authResult = attemptAuthentication(request, response);

if(authResult ==null) {

// return immediately as subclass has indicated that it hasn't completed

// authentication

return;

}

sessionStrategy.onAuthentication(authResult, request, response);

}

successfulAuthentication(request, response, chain, authResult);

protectedvoidsuccessfulAuthentication(HttpServletRequest request,

HttpServletResponse response, FilterChain chain, Authentication authResult)

throwsIOException, ServletException {

if(logger.isDebugEnabled()) {

logger.debug("Authentication success. Updating SecurityContextHolder to contain: "

+ authResult);

}

SecurityContextHolder.getContext().setAuthentication(authResult);

rememberMeServices.loginSuccess(request, response, authResult);

// Fire event

if(this.eventPublisher !=null) {

eventPublisher.publishEvent(newInteractiveAuthenticationSuccessEvent(

authResult,this.getClass()));

}

successHandler.onAuthenticationSuccess(request, response, authResult);

}

Usernamepasswordauthenticationfilter代码

publicSecurityContextPersistenceFilter() {

this(newHttpSessionSecurityContextRepository());

}

publicSecurityContextPersistenceFilter(SecurityContextRepository repo) {

this.repo = repo;

}

我们可以看到这个类的构造方法是需要设置SecurityContextRepository的，默认会设置为HttpSessionSecurityContextRepository.class，这个东西是拿来干嘛的？是用于设置SecurityContext的存储机制的，这个类对于你每次使用SecurityContextHolder在getContext时是否能拿到正确的context起到了关键性的作用。可以看到默认使用HttpSession来实现SecutiryContext的存储。

接下来我们看看doFilter中干了些什么事：

Java代码

HttpRequestResponseHolder holder =newHttpRequestResponseHolder(request,response);

// 这里可以看到从repo中取得SecurityContext，默认是从HttpSession里获取

SecurityContext contextBeforeChainExecution = repo.loadContext(holder);

try{

// 同时在这里将创建好的SecurityContext设置到SecurityContextHolder中            SecurityContextHolder.setContext(contextBeforeChainExecution);

chain.doFilter(holder.getRequest(), holder.getResponse());

}

再来看一下repo.loadCotext的实现。

Java代码

// 先从Session里去读取是否存在SecurityContext

SecurityContext context = readSecurityContextFromSession(httpSession);

// 如果不存在将创建一个空的SecurityContext

if(context ==null) {

context = generateNewContext();

}

returncontext;

protectedSecurityContext generateNewContext() {

returnSecurityContextHolder.createEmptyContext();

}

privateSecurityContext readSecurityContextFromSession(HttpSession httpSession) {

Object contextFromSession = httpSession.getAttribute(springSecurityContextKey);

}

在这里可以看到如果Session是一个新的话，这里的ScurityContext会从SecurityContextHolder中去创建，在SecurityContextHolder中可以看到默认会通过ThreadLocalSecurityContextHolderStrategy创建一个基于ThreadLocal存储线程安全的SecurityContext，那当前线程中所拿到的SecurityContext均是同一个实例。

现在知道了SecurityContext是如何创建了之后，再回头来看SecurityContextPersistenceFilter中的doFilter实现

Java代码

try{

// 在这里将创建好的SecurityContext设置到SecurityContextHolder中

SecurityContextHolder.setContext(contextBeforeChainExecution);

chain.doFilter(holder.getRequest(), holder.getResponse());

}

现在已经在chain.doFilter()之前已经完成了对SecurityContext的设置，接下来过滤器链继续执行，如果你在配置SecurityConfig中使用了UsernamePasswordAuthenticationFilter.class来实现对用户的认证，那我们将会进入到UsernamePasswordAuthenticationFilter的doFilter来实现认证

Java代码

Authentication authResult;

try{

authResult = attemptAuthentication(request, response);

if(authResult ==null) {

// return immediately as subclass has indicated that it hasn't completed

// authentication

return;

}

sessionStrategy.onAuthentication(authResult, request, response);

}

successfulAuthentication(request, response, chain, authResult);

protectedvoidsuccessfulAuthentication(HttpServletRequest request,

HttpServletResponse response, FilterChain chain, Authentication authResult)

throwsIOException, ServletException {

if(logger.isDebugEnabled()) {

logger.debug("Authentication success. Updating SecurityContextHolder to contain: "

+ authResult);

}

SecurityContextHolder.getContext().setAuthentication(authResult);

rememberMeServices.loginSuccess(request, response, authResult);

// Fire event

if(this.eventPublisher !=null) {

eventPublisher.publishEvent(newInteractiveAuthenticationSuccessEvent(

authResult,this.getClass()));

}

successHandler.onAuthenticationSuccess(request, response, authResult);

}

Usernamepasswordauthenticationfilter代码

public Authentication attemptAuthentication(HttpServletRequest request,

HttpServletResponse response) throws AuthenticationException {

if (postOnly && !request.getMethod().equals("POST")) {

throw new AuthenticationServiceException(

"Authentication method not supported: "+ request.getMethod());

}

String username = obtainUsername(request);

String password = obtainPassword(request);

if (username == null) {

username ="";

}

if (password == null) {

password ="";

}

username = username.trim();

UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(

username, password);

// Allow subclasses to set the"details"property

setDetails(request, authRequest);

return this.getAuthenticationManager().authenticate(authRequest);

}

一旦attemptAuthentication认证通过之后，可以在successfulAuthentication方法中可以看到调用了SecurityContextHolder.getContext().setAuthentication(authResult)来完成对用户的认证，到这里已经完成了基于SpringSecurity所提供的一套web完整的认证过程。

在这里就不对UsernamePasswordAuthenticationFilter里的认证机制做详细的阐述了，大家有兴趣的话自己去翻源码查看吧。还是比较简单里，里面设计到了AuthenticationManager、AuthenticationProvider、UserDetailsService等相关的类。

如果你使用的restful接口来实现认证的话，你也可以在验证之后构造一个Authentication实例，再通过SecurityContextHolder.getContext().setAuthentication( authentication )来实现对SpringSecurity的认证。

最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
平台声明：文章内容（如有图片或视频亦包括在内）由作者上传并发布，文章内容仅代表作者本人观点，简书系信息发布平台，仅提供信息存储服务。

推荐阅读更多精彩内容

  • 无标题文章
    北京时间10月1日，2017-18赛季季前赛揭幕战今天正式打响，金州勇士队主场以102比108不敌胜丹佛掘金。不过...
    coco9981阅读 407评论 0赞 2
  • Android - 收藏集
    Android 自定义View的各种姿势1 Activity的显示之ViewRootImpl详解 Activity...
    passiontim阅读 173,523评论 25赞 708
  • 孩子
    山和山一样， 静默，无声。 人和人一样， 在天空下爬行， 和泥土，石头， 或者是和人类， 轻微的摩擦，蠕动。 只是...
    洛_飞阅读 213评论 1赞 17
  • 最好的理财方法是什么？
    1.最好的投资对象，是自己的智力、见识、能力和身体健康 2.最好的理财方式，是做好自己的主业，成为这个行业里的顶尖...
    张嘉豪sky阅读 537评论 0赞 5
  • 寻人启事
    清晨的光亮透过窗帘，一丝一缕的漫进房间，渐渐地，光亮像油漆一样涂抹上了屋子里的每一件摆设，使其发出惨白的光芒…… ...
    陌上萍子阅读 516评论 0赞 3