欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页

【Spring Security OAuth2笔记系列】- spring security - 认证流程源码级详解

程序员文章站 2022-05-05 15:17:44
...

认证流程源码级详解

之前的课程都是实现spring给出的扩展钩子。比如:自定义登录页,自定义登录成功处理等;

但是是很碎片化的,在脑海中链接不起来,只知道该这样做;

本章节讲述源码。

  • 认证处理流程说明
  • 认证结果如何在多个请求之间共享
  • 获取认证用户信息

认证处理流程说明

【Spring Security OAuth2笔记系列】- spring security - 认证流程源码级详解

跟着这个流程和之前配置的地方,去一步一步的看源码;这个很重要!!

  • AuthenticationManager 管理所有的Provider,并选择适合的进行验证
  • AuthenticationProvider 验证提供者,可以自己写provider处理自己的业务场景逻辑

认证结果如何在多个请求之间共享

在认证成功的情况下,

org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter#successfulAuthentication

SecurityContextHolder.getContext().setAuthentication(authResult);


SecurityContext 默策略是一个 org.springframework.security.core.context.ThreadLocalSecurityContextHolderStrategy  对象,
内部使用`ThreadLocal<SecurityContext>`来存储;

【Spring Security OAuth2笔记系列】- spring security - 认证流程源码级详解
上面的源码也就是上图右边部分; SecurityContext会
在同一个线程中可以通过这个context来获取到的。SecurityContextPersistenceFilter来获取;
【Spring Security OAuth2笔记系列】- spring security - 认证流程源码级详解

SecurityContextPersistenceFilter 所在的位置如下图
【Spring Security OAuth2笔记系列】- spring security - 认证流程源码级详解

网络编程模型好复杂啊。发起一个请求,有好几个请求进行,不只是要请的某一个地址。调试也很难调试出来。

获取认证用户信息

UserController中写api;

在前面分析了源码。所以这里可以使用SecurityContextHolder获取到当前的认证用户信息

@GetMapping("/me")
public Authentication getCurrentUser() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    return authentication;
}

// 这样写 spring 会注入
@GetMapping("/me")
public Authentication getCurrentUser(Authentication authentication) {
    return authentication;
}

输出;

{
    "authorities": [
        {
            "authority": "admin"
        }
    ],
    "details": {
        "remoteAddress": "0:0:0:0:0:0:0:1",
        "sessionId": "CB434B240B0B1810ED922C9D877F5842"
    },
    "authenticated": true,
    "principal": {
        "password": null,
        "username": "test001",
        "authorities": [
            {
                "authority": "admin"
            }
        ],
        "accountNonExpired": true,
        "accountNonLocked": true,
        "credentialsNonExpired": true,
        "enabled": true
    },
    "credentials": null,
    "name": "test001"
}

注意看,password是不会返回来的;
如果上面的信息太多了,也可以使用参数注解@AuthenticationPrincipal UserDetails userDetails 获取User的信息

spring默认的SavedRequestAwareAuthenticationSuccessHandler类很强悍;
在这里测试的时候发现了。 由于之前写的访问api会返回json串提示,而不是登录页面;

  1. 访问/user/me
  2. 被拦截301跳转到自定义处理认证请求/authentication/require
  3. 输出了json串
  4. 手动输入 imocc-signIn.html 登录页面
  5. 登录成功后自定义认证成功处cn.mrcode.imooc.springsecurity.securitybrowser.MyAuthenticationSuccessHandler#onAuthenticationSuccess
  6. 根据配置为跳转,再跳转会引发认证跳转的 /user/me

看上面的流程,中间经历了手动输入。但是还能正确的拿到 引发认证前的地址。这个是怎么做到的?(在一个请求下会发起好多不相干的获取请求,感觉好难)

这里还有一个问题:是存储在什么地方的呢?上面的过滤器只是会在登录的时候引发,登录认证成功之后,后续还可以拿到信息; 稍微跟了下源码,在认证之后再次访问的时候,会有好多过滤器,去拿认证信息。具体是怎么的流程没有看懂