Spring Security 登录获取用户信息流程分析

已于 2022-09-28 11:09:53 修改
阅读量3.4k 收藏 4
点赞数
分类专栏： Spring 全家桶 Spring Security 文章标签： java spring
于 2022-09-06 17:09:19 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/CHENFU_ZKK/article/details/126729062
版权

Spring Security 登录获取用户信息流程分析

Spring Security 登录获取用户信息方式

如果使用了 Spring Security，当我们登录成功后，可以通过如下方式获取到当前登录用户信息：

  1. SecurityContextHolder.getContext().getAuthentication()

  2. 在 Controller 的方法中，加入 Authentication 参数

这两种办法，都可以获取到当前登录用户信息。

SecurityContextHolder 简介

SecurityContextHolder 中的数据，本质上是保存在 ThreadLocal 中，ThreadLocal 的特点是存在它里边的数据，哪个线程存的，哪个线程才能访问到。

流程分析

无论是 Spring Security 还是 Shiro，它的一系列功能其实都是由过滤器来完成的，在 Spring Security 中，有一些重要的过滤器比如 UsernamePasswordAuthenticationFilter 过滤器，在这个过滤器之前，还有一个过滤器就是 SecurityContextPersistenceFilter，请求在到达 UsernamePasswordAuthenticationFilter 之前都会先经过SecurityContextPersistenceFilter。

我们在成功进行登录了之后，AbstractAuthenticationProcessingFilter#successfulAuthentication 中有这么一段代码，SecurityContextHolder.getContext().setAuthentication(authResult); 会将 Authentication 设置到 SecurityContext 中，后续 SecurityContextPersistenceFilter 会将 SecurityContext 保存到 session 中。

SecurityContextPersistenceFilter 核心源码

static final String FILTER_APPLIED = "__spring_security_scpf_applied";

// 两个子类，这里我们看 HttpSessionSecurityContextRepository 实现类
private SecurityContextRepository repo;

private void doFilter(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
			throws IOException, ServletException {
		// ensure that filter is only applied once per request
		if (request.getAttribute(FILTER_APPLIED) != null) {
			chain.doFilter(request, response);
			return;
		}
		request.setAttribute(FILTER_APPLIED, Boolean.TRUE);
		if (this.forceEagerSessionCreation) {
			HttpSession session = request.getSession();
			if (this.logger.isDebugEnabled() && session.isNew()) {
				this.logger.debug(LogMessage.format("Created session %s eagerly", session.getId()));
			}
		}
		HttpRequestResponseHolder holder = new HttpRequestResponseHolder(request, response);
		// 核心-从 session 中获取用户认证信息
		SecurityContext contextBeforeChainExecution = this.repo.loadContext(holder);
		try {
			// 保存到线程上线文中[SecurityContextHolder 内部的 SecurityContextHolderStrategy 有三种实现，默认使用的是 ThreadLocalSecurityContextHolderStrategy，而 ThreadLocalSecurityContextHolderStrategy 内部就是 ThreadLocal ]，所以后续就可以获取到用户认证信息了
			SecurityContextHolder.setContext(contextBeforeChainExecution);
			if (contextBeforeChainExecution.getAuthentication() == null) {
				logger.debug("Set SecurityContextHolder to empty SecurityContext");
			}
			else {
				if (this.logger.isDebugEnabled()) {
					this.logger
							.debug(LogMessage.format("Set SecurityContextHolder to %s", contextBeforeChainExecution));
				}
			}
			chain.doFilter(holder.getRequest(), holder.getResponse());
		}
		finally {
			SecurityContext contextAfterChainExecution = SecurityContextHolder.getContext();
			// Crucial removal of SecurityContextHolder contents before anything else.
			SecurityContextHolder.clearContext();
			// 重新保存到 session 中
			this.repo.saveContext(contextAfterChainExecution, holder.getRequest(), holder.getResponse());
			request.removeAttribute(FILTER_APPLIED);
			this.logger.debug("Cleared SecurityContextHolder to complete request");
		}
	}

HttpSessionSecurityContextRepository

从 session 中获取 认证信息 SecurityContext
  1. 获取 SecurityContext - 步骤1
@Override
public SecurityContext loadContext(HttpRequestResponseHolder requestResponseHolder) {
    HttpServletRequest request = requestResponseHolder.getRequest();
    HttpServletResponse response = requestResponseHolder.getResponse();
    HttpSession httpSession = request.getSession(false);
    // 从 session 中获取 securityContext 实例，该接口只有一个实现就是 SecurityContextImpl，仅仅是保存和获取 Authentication 实例
    SecurityContext context = readSecurityContextFromSession(httpSession);
    if (context == null) {
        context = generateNewContext();
        if (this.logger.isTraceEnabled()) {
            this.logger.trace(LogMessage.format("Created %s", context));
        }
    }
    SaveToSessionResponseWrapper wrappedResponse = new SaveToSessionResponseWrapper(response, request,
            httpSession != null, context);
    requestResponseHolder.setResponse(wrappedResponse);
    requestResponseHolder.setRequest(new SaveToSessionRequestWrapper(request, wrappedResponse));
    return context;
}
  1. 获取 SecurityContext - 步骤2
private SecurityContext readSecurityContextFromSession(HttpSession httpSession) {
    if (httpSession == null) {
        this.logger.trace("No HttpSession currently exists");
        return null;
    }
    // Session exists, so try to obtain a context from it.
    Object contextFromSession = httpSession.getAttribute(this.springSecurityContextKey);
    if (contextFromSession == null) {
        if (this.logger.isTraceEnabled()) {
            this.logger.trace(LogMessage.format("Did not find SecurityContext in HttpSession %s "
                    + "using the SPRING_SECURITY_CONTEXT session attribute", httpSession.getId()));
        }
        return null;
    }

    // We now have the security context object from the session.
    if (!(contextFromSession instanceof SecurityContext)) {
        this.logger.warn(LogMessage.format(
                "%s did not contain a SecurityContext but contained: '%s'; are you improperly "
                        + "modifying the HttpSession directly (you should always use SecurityContextHolder) "
                        + "or using the HttpSession attribute reserved for this class?",
                this.springSecurityContextKey, contextFromSession));
        return null;
    }

    if (this.logger.isTraceEnabled()) {
        this.logger.trace(
                LogMessage.format("Retrieved %s from %s", contextFromSession, this.springSecurityContextKey));
    }
    else if (this.logger.isDebugEnabled()) {
        this.logger.debug(LogMessage.format("Retrieved %s", contextFromSession));
    }
    // Everything OK. The only non-null return from this method.
    return (SecurityContext) contextFromSession;
}
将认证信息 SecurityContext 保存到 session 中
  1. 保存 SecurityContext 到 session 中 - 1
@Override
public void saveContext(SecurityContext context, HttpServletRequest request, HttpServletResponse response) {
    SaveContextOnUpdateOrErrorResponseWrapper responseWrapper = WebUtils.getNativeResponse(response,
            SaveContextOnUpdateOrErrorResponseWrapper.class);
    Assert.state(responseWrapper != null, () -> "Cannot invoke saveContext on response " + response
            + ". You must use the HttpRequestResponseHolder.response after invoking loadContext");
    responseWrapper.saveContext(context);
}
  1. 保存 SecurityContext 到 session 中 - 2
@Override
protected void saveContext(SecurityContext context) {
    final Authentication authentication = context.getAuthentication();
    HttpSession httpSession = this.request.getSession(false);
    String springSecurityContextKey = HttpSessionSecurityContextRepository.this.springSecurityContextKey;
    // See SEC-776
    if (authentication == null
            || HttpSessionSecurityContextRepository.this.trustResolver.isAnonymous(authentication)) {
        if (httpSession != null && this.authBeforeExecution != null) {
            // SEC-1587 A non-anonymous context may still be in the session
            // SEC-1735 remove if the contextBeforeExecution was not anonymous
            httpSession.removeAttribute(springSecurityContextKey);
            this.isSaveContextInvoked = true;
        }
        if (this.logger.isDebugEnabled()) {
            if (authentication == null) {
                this.logger.debug("Did not store empty SecurityContext");
            }
            else {
                this.logger.debug("Did not store anonymous SecurityContext");
            }
        }
        return;
    }
    httpSession = (httpSession != null) ? httpSession : createNewSessionIfAllowed(context, authentication);
    // If HttpSession exists, store current SecurityContext but only if it has
    // actually changed in this thread (see SEC-37, SEC-1307, SEC-1528)
    if (httpSession != null) {
        // We may have a new session, so check also whether the context attribute
        // is set SEC-1561
        if (contextChanged(context) || httpSession.getAttribute(springSecurityContextKey) == null) {
        	// 将 SecurityContext  保存到 session 中
            httpSession.setAttribute(springSecurityContextKey, context);
            this.isSaveContextInvoked = true;
            if (this.logger.isDebugEnabled()) {
                this.logger.debug(LogMessage.format("Stored %s to HttpSession [%s]", context, httpSession));
            }
        }
    }
}

详细步骤（原本的方法很长，这里列出来比较关键的几个部分）：

  1. SecurityContextPersistenceFilter 继承自 GenericFilterBean，而 GenericFilterBean 则是 Filter 的实现，所以 SecurityContextPersistenceFilter 作为一个过滤器，它里边最重要的方法就是 doFilter 了。

  2. 在 doFilter 方法中，它首先会从 repo 中读取一个 SecurityContext 出来，这里的 repo 实际上就是 HttpSessionSecurityContextRepository，读取 SecurityContext 的操作会进入到 readSecurityContextFromSession 方法中，在这里我们看到了读取的核心方法 Object contextFromSession = httpSession.getAttribute(springSecurityContextKey);，这里的 springSecurityContextKey 对象的值就是 SPRING_SECURITY_CONTEXT，读取出来的对象最终会被转为一个 SecurityContext 对象。

  3. SecurityContext 是一个接口，它有一个唯一的实现类 SecurityContextImpl，这个实现类其实就是用户信息在 session 中保存的 value。

  4. 在拿到 SecurityContext 之后，通过 SecurityContextHolder.setContext 方法将这个 SecurityContext 设置到 ThreadLocal 中去，这样，在当前请求中，Spring Security 的后续操作，我们都可以直接从 SecurityContextHolder 中获取到用户信息了。

  5. 接下来，通过 chain.doFilter 让请求继续向下走（这个时候就会进入到 UsernamePasswordAuthenticationFilter 过滤器中了）。

  6. 在过滤器链走完之后，数据响应给前端之后，finally 中还有一步收尾操作，这一步很关键。这里从 SecurityContextHolder 中获取到 SecurityContext，获取到之后，会把 SecurityContextHolder 清空，然后调用 repo.saveContext 方法将获取到的 SecurityContext 存入 session 中。

每一个请求到达服务端的时候，首先从 session 中找出来 SecurityContext ，然后设置到 SecurityContextHolder 中去，方便后续使用，当这个请求离开的时候，SecurityContextHolder 会被清空，SecurityContext 会被放回 session 中，方便下一个请求来的时候获取。

SecurityConfigurer 配置项

  1. configure(HttpSecurity http)
  2. configure(WebSecurity web)

configure(HttpSecurity http)

  1. 经过过滤器链
  2. 通常放行登录接口放在这里，因为要将登录信息存入 session 中

configure(WebSecurity web)

  1. 不经过过滤器链，不会将登录信息存入 session 中
  2. 通常用于放行静态资源，css、html 等

参考

  1. Spring Security 登录成功后总是获取不到登录用户信息
CHENFU_JAVA
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
一篇文章带你搞定 Spring Security 的登录流程
南淮北安的博客
09-14 3916
为什么想和大家捋一捋 Spring Security 登录流程呢？这是因为之前小伙伴们的一个提问：如何在 Spring Security 中动态修改用户信息？ 如果你搞清楚了 Spring Security 登录流程，这其实不是问题。 先来大致描述一下问题场景： 你在服务端的安全管理使用了 Spring Security，用户登录成功之后，Spring Security 帮你把用户信息保存在 Session 里，但是具体保存在哪里，要是不深究你可能就不知道， 这带来了一个问题，如果用户在前端操作修改了当前
浅析Spring Security登录验证流程
08-25
DaoAuthenticationProvider从数据库获取用户信息源码，所以当我们需要加载用户信息进行登录验证的时候，我们需要实现UserDetailsService接口，用于加载用户信息。UserDetailsService接口定义了loadUserByUsername...
SecurityContext
weixin_51992178的博客
10-28 1563
SecurityContext的生命周期：请求到来时从Session中取出，放入SecurityContextHolder中，请求结束时从SecurityContextHolder取出，并放到Session中，实际上就是依靠Session来存储的，一旦会话过期验证信息也跟着消失。SecurityContextHolder的存储策略默认是`MODE_THREADLOCAL`，它是基于ThreadLocal实现的，`getContext()`方法本质上调用的是对应的存储策略实现的方法。
security如何保存用户信息，如何获取用户信息（一）（含部分securityHolder源码分析）
m0_64106946的博客
05-19 443
SecurityContextPersistenceFilter 先从HttpSession中读取SecurityContext出来，存入SecurityContextHolder以备后续使用，当请求离开SecurityContextPersistenceFilter的时候，获取最新的SecurityContext并存入HttpSession中，同时清空SecurityContextHolder中的登录信息。但对于我们的前后端分离的情况，一般都用jwt，若开启session(默认)，那么每次。
Spring Security登录流程分析
大后生大大大的博客
11-19 2111
登录流程分析、AuthenticationManager、AuthenticationProvider、ProviderManager、Authentication
Spring Security 登录流程
CHENFU_ZKK的博客
09-26 1644
Spring Security 登录流程
springsecurity 获取token流程分析
lucktomcat的博客
07-01 3966
springsecurity password模式通过端点获取token主要源码段
Spring Security 认证流程分析及多方式登录认证实践
07-22 865
在项目开发过程中，会涉及到安全框架的配置。其中常用的就是shiro和, 在本文中将介绍的工作流程和实践应用，并基于此总结其使用心得和项目配置关键。本文主要介绍了登录相关的核心配置，以及验证码方式登录的实践，作为系统开发中常用的权限认证框架，在此基础上拓展了项目的多种登录方式，即手机验证码和邮箱验证码的方式，同时也介绍了前后端分离与不分离情况下的差异。本文总结了常用的使用方式，可以很好的为后续开发提供借鉴。所涉及的代码已经上传至gitee项目gitee地址。
SpringSecurity登录和校验流程简述
weixin_64618264的博客
05-20 862
第一步:验证用户名和密码正确性实现UserDetailsService接口重写其中的loadUserByUsername方法，从数据库查询用户名和密码，查询成功就返回一个UserDetails对象（因为重写的这个方法需要返回这个对象）如果要测试，需要往用户表中写入用户数据，并且如果你想让用户的密码是明文存储，需要在密码前加{noop}第二步 有了上面的准备工作后，就设置SpringSecurity拦截除了登陆接口的一系列接口了。
SpringSecurity(十一) 登录流程分析(下)
陈橙橙
03-16 1451
前言 上一篇我们对SpringSecurity登录流程几个重要组件进行了简单的分析，最后遗留下来了一点，这里我们将继续上篇内容讨论。有兴趣的朋友可以看看本专栏的文章。还请不吝赐教。 AbstractAuthenticationProcessingFilter 作为SpringSecurity过滤器链中的一环，AbstractAuthenticationProcessingFilter可以用来处理任何提交给它的身份你认证，我们来用图看看它的工作流程： 上图显示的流程是一个通用的架构。 AbstractAut
【SpringSecurity】二、密码处理与获取当前登录用户
llg___的博客
08-22 939
Component@Override@Autowired以上暴露了Authentication认证对象，且隐藏静态访问代码，让业务解耦并方便测试。
Spring Cloud Gateway 整合 Spring Security 统一登录认证鉴权
02-24
4. **处理登录和会话管理**：创建一个登录接口，用户可以通过这个接口提交凭证并获取JWT token。这个token将在后续的请求中携带，以证明用户的身份。同时，需要处理session管理和token的刷新，确保用户会话的安全性...
Spring Security 实现短信验证码登录功能
08-19
在本文中，我们将深入探讨如何使用Spring Security框架实现短信验证码登录功能。...此外，短信验证码登录流程的可定制性使得Spring Security能够适应各种不同的身份验证需求，为应用程序的安全提供了更大的灵活性。
Spring Security Oauth2.0 实现短信验证码登录示例
08-28
3. 手机号码登录认证流程需要结合 userService 进行用户信息查询 4. 用户信息查询需要将用户信息封装到 UserDetailsImpl 对象中 该示例展示了如何使用 Spring Security Oauth2.0 实现短信验证码登录功能，提供了...
SpringBoot + SpringSecurity 短信验证码登录功能实现
08-27
SpringSecurity 认证流程详解有一定了解的都知道，在帐号密码认证的过程中，涉及到了以下几个类：UsernamePasswordAuthenticationFilter（用于请求参数获取），UsernamePasswordAuthenticationToken（表示用户登录...
java springboot 集成 阿里通义千问
qq_25987725的博客
07-25 451
一、在阿里云https://www.aliyun.com官网直接搜索“通义千问”，点击“开通DashScope”进行服务激活。四、在config目录添加配置 TongYiAiConfiguration.java。三、在yml中配置中配置key。二、加入Maven依赖。
使用hutool工具判断字符串是否全部是字母(包括大小写)，java判断字符串是否全部是字母(包括大小写)
qq_43700885的博客
07-29 506
1.导入hutool的maven依赖。2.复制一下代码执行。
JavaSE面向对象进阶
最新发布
qq_45348840的博客
07-30 383
需求：在实际开发中，经常会遇到一些数组使用的工具类;请按照如下要求编写一个数组的工具类：ArrayUtil提供一个工具类方法printArr,用于返回整数数组的内容。返回的字符串格式如：[10,20,50,34,100 ]（只考虑整数数组，且只考虑一维数组)提供这样一个工具方法getAerage,用于返回平均分。（只考虑浮点型数组，且只考虑一维数组)定义一个测试类TestDemo,调用该工具类的工具方法，并返回结果。// 私有化构造方法// 定义静态方法，方便调用。i++) {
springsecurity登录验证流程
05-18
Spring Security的登录验证流程主要包括以下几个步骤： 1. 用户在客户端（如浏览器）输入用户名和密码提交登录请求。 2. 服务器端接收到登录请求后，将请求交给Spring Security进行处理。 3. Spring Security会调用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值