2021SC@SDUSC
区分认证和授权:
身份认证Authentication,和授权Authorization。
Authentication指的是用户身份的认证,并不介入这个用户能够做什么,不能够做什么,仅仅是确认存在这个用户而已。而Authorization授权是建立的认证的基础上的,存在这个用户了,再来约定这个用户是否有权限处理这一件事。
AuthenticationEntryPoint是Spring Security
Web一个概念模型接口,顾名思义,他所建模的概念是“认证入口点”。
它在用户请求处理过程中遇到认证异常时,被ExceptionTranslationFilter用于开启特定认证方案的认证流程。
查看源码,可以看出,该接口只定义了一个方法 :
void commence(HttpServletRequest request, HttpServletResponse response,
AuthenticationException authException) throws IOException, ServletException;
Spring Security Web内置AuthenticationEntryPoint实现类
Spring Security Web 为AuthenticationEntryPoint提供了一些内置实现 :
-
Http403ForbiddenEntryPoint
-设置响应状态字为403,并非触发一个真正的认证流程。通常在一个预验证(pre-authenticated authentication)已经得出结论需要拒绝用户请求的情况被用于拒绝用户请求。 -
HttpStatusEntryPoint
设置特定的响应状态字,并非触发一个真正的认证流程。 -
LoginUrlAuthenticationEntryPoint
根据配置计算出登录页面url,将用户重定向到该登录页面从而开始一个认证流程。 -
BasicAuthenticationEntryPoint
对应标准Http Basic认证流程的触发动作,向响应写入状态字401和头部WWW-Authenticate:"Basic realm="xxx"触发标准Http Basic认证流程。 -
DigestAuthenticationEntryPoint
对应标准Http Digest认证流程的触发动作,向响应写入状态字401和头部WWW-Authenticate:"Digest realm="xxx"触发标准Http Digest认证流程。 -
DelegatingAuthenticationEntryPoint
是一个代理,将认证任务委托给所代理的多个AuthenticationEntryPoint对象,其中一个被标记为缺省AuthenticationEntryPoint。
本项目中的Authentication模块实现AuthenticationEntryPoint接口 :
package cn.edu.sdu.component;
import cn.edu.sdu.api.CommonResult;
import cn.hutool.json.JSONUtil;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.AuthenticationEntryPoint;
import org.springframework.stereotype.Component;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
@Component
public class RestAuthenticationEntryPoint implements AuthenticationEntryPoint {
@Override
public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
response.setHeader("Access-Control-Allow-Origin", "*");
response.setHeader("Cache-Control","no-cache");
response.setCharacterEncoding("UTF-8");
response.setContentType("application/json");
response.getWriter().println(JSONUtil.parse(CommonResult.unauthorized(authException.getMessage())));
response.getWriter().flush();
}
}
查看HttpServletResponse :
可以看出,HttpServletResponse继承servletResponse。
HttpServletResponse对象代表服务器的响应。这个对象中封装了向客户端发送数据、发送响应头,发送响应状态码的方法。查看HttpServletResponse的API,可以看到这些相关的方法。
Servlet在MVC架构中充当Controller的角色,因此其不仅要获取客户端的数据(用户输入的表单数据、查询参数等),并在处理结束后,给客户端一个响应。
本项目中也是采用较为常规的实现方法。
response.setHeader("Access-Control-Allow-Origin", "*");
response.setHeader("Cache-Control","no-cache");
response.setCharacterEncoding("UTF-8");
response.setContentType("application/json");
补充:severlet是如何的对http响应的: