2021SC@SDUSC-SDUDOC-blog13

2021SC@SDUSC

区分认证和授权：
身份认证Authentication，和授权Authorization。
Authentication指的是用户身份的认证，并不介入这个用户能够做什么，不能够做什么，仅仅是确认存在这个用户而已。而Authorization授权是建立的认证的基础上的，存在这个用户了，再来约定这个用户是否有权限处理这一件事。

AuthenticationEntryPoint是Spring Security
Web一个概念模型接口，顾名思义，他所建模的概念是“认证入口点”。
它在用户请求处理过程中遇到认证异常时，被ExceptionTranslationFilter用于开启特定认证方案的认证流程。

查看源码，可以看出，该接口只定义了一个方法 :

void commence(HttpServletRequest request, HttpServletResponse response,
			AuthenticationException authException) throws IOException, ServletException;

Spring Security Web内置AuthenticationEntryPoint实现类

Spring Security Web 为AuthenticationEntryPoint提供了一些内置实现 :

• Http403ForbiddenEntryPoint
  -设置响应状态字为403,并非触发一个真正的认证流程。通常在一个预验证(pre-authenticated authentication)已经得出结论需要拒绝用户请求的情况被用于拒绝用户请求。

• HttpStatusEntryPoint
  设置特定的响应状态字，并非触发一个真正的认证流程。

• LoginUrlAuthenticationEntryPoint
  根据配置计算出登录页面url,将用户重定向到该登录页面从而开始一个认证流程。

• BasicAuthenticationEntryPoint
  对应标准Http Basic认证流程的触发动作，向响应写入状态字401和头部WWW-Authenticate:"Basic realm="xxx"触发标准Http Basic认证流程。

• DigestAuthenticationEntryPoint
  对应标准Http Digest认证流程的触发动作，向响应写入状态字401和头部WWW-Authenticate:"Digest realm="xxx"触发标准Http Digest认证流程。

• DelegatingAuthenticationEntryPoint
  是一个代理，将认证任务委托给所代理的多个AuthenticationEntryPoint对象，其中一个被标记为缺省AuthenticationEntryPoint。

本项目中的Authentication模块实现AuthenticationEntryPoint接口 ：

package cn.edu.sdu.component;

import cn.edu.sdu.api.CommonResult;
import cn.hutool.json.JSONUtil;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.AuthenticationEntryPoint;
import org.springframework.stereotype.Component;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@Component
public class RestAuthenticationEntryPoint implements AuthenticationEntryPoint {

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
        response.setHeader("Access-Control-Allow-Origin", "*");
        response.setHeader("Cache-Control","no-cache");
        response.setCharacterEncoding("UTF-8");
        response.setContentType("application/json");

        response.getWriter().println(JSONUtil.parse(CommonResult.unauthorized(authException.getMessage())));
        response.getWriter().flush();
    }
}

查看HttpServletResponse ：

可以看出，HttpServletResponse继承servletResponse。
HttpServletResponse对象代表服务器的响应。这个对象中封装了向客户端发送数据、发送响应头，发送响应状态码的方法。查看HttpServletResponse的API，可以看到这些相关的方法。

Servlet在MVC架构中充当Controller的角色，因此其不仅要获取客户端的数据（用户输入的表单数据、查询参数等），并在处理结束后，给客户端一个响应。

本项目中也是采用较为常规的实现方法。

response.setHeader("Access-Control-Allow-Origin", "*");
response.setHeader("Cache-Control","no-cache");
response.setCharacterEncoding("UTF-8");
response.setContentType("application/json");

补充：severlet是如何的对http响应的：