spring-security-oauth2 源码分析B路线（二）

最新推荐文章于 2024-08-30 11:19:14 发布
最新推荐文章于 2024-08-30 11:19:14 发布
阅读量221 收藏
点赞数
分类专栏： # spring-secuirty-oauth2 文章标签： spring cloud
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/dev3932/article/details/111791768
版权

文章目录

前言

在开始之前务必下载好源码 spring-security-5.3.x版本，由于上篇中的问题大量涉及到spring-security，为解释上篇中遗留问题，需要分析spring-security的源码。

案例中的两个AuthenticationManager来自哪里

案例中的3个WebSecurityConfigurerAdapter实现类

在案例中有3个类继承了WebSecurityConfigurerAdapter，分别是：

  1. AuthorizationServerSecurityConfiguration（在DemoAuthorizationServerConfiguration类上的@EnableAuthorizationServer中导入的配置类AuthorizationServerSecurityConfiguration）

  2. ResourceServerConfiguration（在DemoResourceServerConfiguration类上的@EnableResourceServer中导入的配置类ResourceServerConfiguration）

  3. DemoWebSecurityConfiguration

在案例中使用了2个AuthenticationManager

  1. 来自于继承WebSecurityConfigurerAdapter的AuthorizationServerSecurityConfiguration中的某个AuthenticationManagerBuilder对象创建并保存到HttpSecurity对象中的sharedObjects中。

  2. 来自于DemoWebSecurityConfiguration中调用WebSecurityConfigurerAdapter.authenticationManagerBean()方法创建并配置成bean

接下来，以3个继承了WebSecurityConfigurerAdapter的实现类分析AuthenticationManager的来源与其中包含的AuthenticationProvider。

AuthorizationServerSecurityConfiguration视角分析

OK，接下来详细分析为什么是这样。将从WebSecurityConfigurerAdapter开始分析，在其源码中的202行，调用authenticationManager()方法直接返回了一个AuthenticationManager 对象。

AuthenticationManager authenticationManager = authenticationManager();

具体查看该方法：disableLocalConfigureAuthenticationBldr 是否关闭本地配置AuthenticationManagerBuilder，其默认值是false。

	protected AuthenticationManager authenticationManager() throws Exception {
		if (!authenticationManagerInitialized) {
			configure(localConfigureAuthenticationBldr);
			/**
			 * disableLocalConfigureAuthenticationBldr 是否关闭本地配置AuthenticationManagerBuilder，其默认值是false。
			 * 当调用当前类中的configure(AuthenticationManagerBuilder auth)方法，将该变量设置为true。
			 */
			if (disableLocalConfigureAuthenticationBldr) {
				authenticationManager = authenticationConfiguration
						.getAuthenticationManager();
			}
			else {
				authenticationManager = localConfigureAuthenticationBldr.build();
			}
			authenticationManagerInitialized = true;
		}
		return authenticationManager;
	}

当调用当前类中的configure(AuthenticationManagerBuilder auth)方法，将该变量设置为true。

	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
		this.disableLocalConfigureAuthenticationBldr = true;
	}

在AuthorizationServerSecurityConfiguration中，重写的configure(AuthenticationManagerBuilder auth)方法，在源码中是这样的：

	@Override
	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
		// Over-riding to make sure this.disableLocalConfigureAuthenticationBldr = false
		// This will ensure that when this configurer builds the AuthenticationManager it will not attempt
		// to find another 'Global' AuthenticationManager in the ApplicationContext (if available),
		// and set that as the parent of this 'Local' AuthenticationManager.
		// This AuthenticationManager should only be wired up with an AuthenticationProvider
		// composed of the ClientDetailsService (wired in this configuration) for authenticating 'clients' only.
	}

这就是一个空方法，且没有调用父类的实现，即结果是disableLocalConfigureAuthenticationBldr 为false。继续分析，由于localConfigureAuthenticationBldr中没有配置任何AuthenticationProvider，在build的时候返回为null的authenticationManager。（build方法会调用performBuild方法，performBuild方法中调用isConfigured方法且为false的时候直接返回null，isConfigured方法：return !authenticationProviders.isEmpty() || parentAuthenticationManager != null）

	if (disableLocalConfigureAuthenticationBldr) {
				authenticationManager = authenticationConfiguration
						.getAuthenticationManager();
			}
			else {
				// 由于localConfigureAuthenticationBldr中没有配置任何AuthenticationProvider，在build的时候返回了null
				authenticationManager = localConfigureAuthenticationBldr.build();
			}

在源码203行，将当前这个authenticationManager保存到authenticationBuilder中作为parentAuthenticationManager。

		/**
		 * 将当前这个authenticationManager保存到authenticationBuilder中作为parentAuthenticationManager
		 */
		authenticationBuilder.parentAuthenticationManager(authenticationManager);

在源码206行，调用HttpSecurity有参构造方法，在该构造方法中将当前authenticationBuilder保存到了sharedObjects中。

	public HttpSecurity(ObjectPostProcessor<Object> objectPostProcessor,
			AuthenticationManagerBuilder authenticationBuilder,
			Map<Class<?>, Object> sharedObjects) {
		super(objectPostProcessor);
		Assert.notNull(authenticationBuilder, "authenticationBuilder cannot be null");
		setSharedObject(AuthenticationManagerBuilder.class, authenticationBuilder);

在源码218行，使用anonymous()方法，其方法中应用 AnonymousConfigurer ,默认创建了AnonymousAuthenticationProvider。

		if (!disableDefaults) {
			// @formatter:off
			http
				.csrf().and()
				.addFilter(new WebAsyncManagerIntegrationFilter())
				.exceptionHandling().and()
				.headers().and()
				.sessionManagement().and()
				.securityContext().and()
				.requestCache().and()
				.anonymous().and()

在HttpSecurity类中调用beforeConfigure()方法，使用sharedObjects中保存的AuthenticationManagerBuilder对象调用build方法并保存构造生成的AuthenticationManager对象到sharedObjects中。

	@Override
	protected void beforeConfigure() throws Exception {
		setSharedObject(AuthenticationManager.class, getAuthenticationRegistry().build());
	}

	private AuthenticationManagerBuilder getAuthenticationRegistry() {
		return getSharedObject(AuthenticationManagerBuilder.class);
	}

在其源码231行，调用当前类中的configure(HttpSecurity http)方法，该方法被AuthorizationServerSecurityConfiguration重写

		configure(http);//调用当前类中的configure(HttpSecurity http)方法，该方法被AuthorizationServerSecurityConfiguration重写

在AuthorizationServerSecurityConfiguration源码第78行，应用了AuthorizationServerSecurityConfigurer

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		AuthorizationServerSecurityConfigurer configurer = new AuthorizationServerSecurityConfigurer();
		FrameworkEndpointHandlerMapping handlerMapping = endpoints.oauth2EndpointHandlerMapping();
		http.setSharedObject(FrameworkEndpointHandlerMapping.class, handlerMapping);
		configure(configurer);
		http.apply(configurer); //应用了AuthorizationServerSecurityConfigurer

在AuthorizationServerSecurityConfiguration源码init(HttpSecurity http)中，无论是否使用自定义的passwordEncoder，都会调用AuthenticationManagerBuilder的userDetailsService方法保存ClientDetailsUserDetailsService。

	@Override
	public void init(HttpSecurity http) throws Exception {

		registerDefaultAuthenticationEntryPoint(http);
		if (passwordEncoder != null) {
			ClientDetailsUserDetailsService clientDetailsUserDetailsService = new ClientDetailsUserDetailsService(clientDetailsService());
			clientDetailsUserDetailsService.setPasswordEncoder(passwordEncoder());
			http.getSharedObject(AuthenticationManagerBuilder.class)
					.userDetailsService(clientDetailsUserDetailsService) // 保存clientDetailsUserDetailsService
					.passwordEncoder(passwordEncoder());
		}
		else {
			http.userDetailsService(new ClientDetailsUserDetailsService(clientDetailsService())); // 最后调用AuthenticationManagerBuilder中的userDetailsService方法
		}

在AuthenticationManagerBuilder源码userDetailsService方法中，应用传入ClientDetailsUserDetailsService的DaoAuthenticationConfigurer

	public <T extends UserDetailsService> DaoAuthenticationConfigurer<AuthenticationManagerBuilder, T> userDetailsService(
			T userDetailsService) throws Exception {
		this.defaultUserDetailsService = userDetailsService;
		return apply(new DaoAuthenticationConfigurer<AuthenticationManagerBuilder, T>(
				userDetailsService));
	}

在AbstractDaoAuthenticationConfigurer源码第95行的configure(B builder)方法中调用builder.authenticationProvider(provider)，provider即是定义在当前类中的DaoAuthenticationProvider

	private DaoAuthenticationProvider provider = new DaoAuthenticationProvider();

	@Override
	public void configure(B builder) throws Exception {
		provider = postProcess(provider);
		builder.authenticationProvider(provider);
	}

当使用这个保存到sharedObjects中的AuthenticationManagerBuilder最终构建生成了一个包含AnonymousAuthenticationProvider与使用ClientDetailsUserDetailsService的DaoAuthenticationProvider，没有parentAuthenticationManager的AuthenticationManager对象。

我们已经知道了当HttpSecurit.beforeConfigure()方法被调用的会创建AuthenticationManager对象，那么这个方法是什么时候被调用的呢？这个问题留到后面再说。至此以AuthorizationServerSecurityConfiguration对象的视角分析完了AuthenticationManager的来源以及其中包含的AuthenticationProvider。

ResourceServerConfiguration视角分析

根据AuthorizationServerSecurityConfiguration视角分析流程，我们可以加快分析过程。

在WebSecurityConfigurerAdapter其源码中的202行，调用authenticationManager()方法，在authenticationManager()方法中，在其实现类中未重写configure(AuthenticationManagerBuilder auth)方法导致disableLocalConfigureAuthenticationBldr为true，调用了AuthenticationConfiguration配置类中的getAuthenticationManager()方法来创建authenticationManager

			if (disableLocalConfigureAuthenticationBldr) { // 在其实现类中未重写configure(AuthenticationManagerBuilder auth)方法导致disableLocalConfigureAuthenticationBldr为true
				authenticationManager = authenticationConfiguration
						.getAuthenticationManager();
			}

在AuthenticationConfiguration源码getAuthenticationManager()方法中，使用了当前类中配置的AuthenticationManagerBuilder的bean来构建AuthenticationManager

	public AuthenticationManager getAuthenticationManager() throws Exception {
		if (this.authenticationManagerInitialized) {
			return this.authenticationManager;
		}
		AuthenticationManagerBuilder authBuilder = this.applicationContext.getBean(AuthenticationManagerBuilder.class);
		if (this.buildingAuthenticationManager.getAndSet(true)) {
			return new AuthenticationManagerDelegator(authBuilder);
		}

		for (GlobalAuthenticationConfigurerAdapter config : globalAuthConfigurers) {
			authBuilder.apply(config);
		}

		//这里的AuthenticationManagerBuilder对象authBuilder是当前类中配置的AuthenticationManagerBuilder的bean
		authenticationManager = authBuilder.build();

		if (authenticationManager == null) {
			authenticationManager = getAuthenticationManagerBean();
		}

		this.authenticationManagerInitialized = true;
		return authenticationManager;
	}

	@Bean
	public AuthenticationManagerBuilder authenticationManagerBuilder(
			ObjectPostProcessor<Object> objectPostProcessor, ApplicationContext context) {
		LazyPasswordEncoder defaultPasswordEncoder = new LazyPasswordEncoder(context);
		AuthenticationEventPublisher authenticationEventPublisher = getBeanOrNull(context, AuthenticationEventPublisher.class);

		DefaultPasswordEncoderAuthenticationManagerBuilder result = new DefaultPasswordEncoderAuthenticationManagerBuilder(objectPostProcessor, defaultPasswordEncoder);
		if (authenticationEventPublisher != null) {
			result.authenticationEventPublisher(authenticationEventPublisher);
		}
		return result;
	}

在authBuilder.build()构建authenticationManager对象中，按照其经验，应当调用apply方法中应用了某些配置类，在其中配置了authenticationProvider。

		for (GlobalAuthenticationConfigurerAdapter config : globalAuthConfigurers) {
			authBuilder.apply(config);
		}

在GlobalAuthenticationConfigurerAdapter抽象类的实现类InitializeUserDetailsBeanManagerConfigurer中发现了AuthenticationProvider配置

		@Override
		public void configure(AuthenticationManagerBuilder auth) throws Exception {
			if (auth.isConfigured()) {
				return;
			}
			UserDetailsService userDetailsService = getBeanOrNull(
					UserDetailsService.class);
			if (userDetailsService == null) {
				return;
			}

			PasswordEncoder passwordEncoder = getBeanOrNull(PasswordEncoder.class);

			DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
			provider.setUserDetailsService(userDetailsService);
			if (passwordEncoder != null) {
				provider.setPasswordEncoder(passwordEncoder);
			}

			auth.authenticationProvider(provider);
		}

在上面的方法中，发现UserDetailsService、PasswordEncoder都是来自于ApplicationContext中获取对应类型的bean，然后以其创建了DaoAuthenticationProvider 并设置到AuthenticationManagerBuilder中。

同样，在WebSecurityConfigurerAdapter源码218行，使用anonymous()方法，其方法中应用 AnonymousConfigurer ,但在ResourceServerConfiguration源码中重写的configure(HttpSecurity http)方法中直接创建并设置了一个key为default的AnonymousAuthenticationProvider，替换了在AnonymousConfigurer 中默认生成的key为UUID随机字符串的AnonymousAuthenticationProvider。这其中是怎么替换的，涉及到更深的源码，之后再分析。

		// @formatter:off
		http.authenticationProvider(new AnonymousAuthenticationProvider("default"))
		// N.B. exceptionHandling is duplicated in resources.configure() so that

当使用这个保存到sharedObjects中的AuthenticationManagerBuilder最终构建生成了一个包含AnonymousAuthenticationProvider与parentAuthenticationManager使用我们配置bean的UserDetailsService的DaoAuthenticationProvider的AuthenticationManager对象。

至此，以ResourceServerConfiguration视角分析AuthenticationManager结束。

DemoWebSecurityConfiguration视角分析

与ResourceServerConfiguration视角分析基本一样，但是使用默认的AnonymousAuthenticationProvider，最终构建生成了一个包含AnonymousAuthenticationProvider与parentAuthenticationManager使用我们配置bean的UserDetailsService的DaoAuthenticationProvider的AuthenticationManager对象，并且在我们的DemoWebSecurityConfiguration配置类中将其配置成了bean。在ResourceServerConfiguration视角分析中最后的AuthenticationManager对象，没有在本案例中进行使用。（言外之意是在其他时候会被使用到）

WebSecurityConfigurerAdapter没有提供public方法获取authenticationBuilder对象，我们也不需要通过authenticationBuilder对象build构建对象，这一步spring-security已经帮我们处理过了，我们主要是需要调用authenticationBuilder.getObject()方法来获取已经构建好的AuthenticationManager对象，spring-security在WebSecurityConfigurerAdapter定义了一个AuthenticationManager接口的实现类AuthenticationManagerDelegator代理来调用AuthenticationManager对象，避免外部破坏结构。

	@Bean
	@Override
	@SneakyThrows
	public AuthenticationManager authenticationManagerBean() {
		return super.authenticationManagerBean();
	}

案例中使用到的两个AuthenticationManager在哪里被调用

ClientCredentialsTokenEndpointFilter使用的是从HttpSecurity#shareObjects中取出的AuthenticationManager对象，并配置在AuthorizationServerSecurityConfigurer#clientCredentialsTokenEndpointFilter(HttpSecurity http)中。很明显这里的AuthenticationManager对象是从AuthorizationServerSecurityConfiguration配置类中的sharedObjects中获取的。

	private ClientCredentialsTokenEndpointFilter clientCredentialsTokenEndpointFilter(HttpSecurity http) {
		ClientCredentialsTokenEndpointFilter clientCredentialsTokenEndpointFilter = new ClientCredentialsTokenEndpointFilter(
				frameworkEndpointHandlerMapping().getServletPath("/oauth/token"));
		clientCredentialsTokenEndpointFilter
				.setAuthenticationManager(http.getSharedObject(AuthenticationManager.class));

BasicAuthenticationFilter使用的是从HttpSecurity#shareObjects中取出的AuthenticationManager对象，并配置在HttpBasicConfigurer.configure(B http)中，在AuthorizationServerSecurityConfiguration重写的configure(HttpSecurity http)方法中去掉父类实现，并在AuthorizationServerSecurityConfigurer的init(HttpSecurity http)方法中调用了HttpSecurity对象的httpBasic()方法，httpBasic()方法应用了HttpBasicConfigurer，最终这里的AuthenticationManager对象也是从AuthorizationServerSecurityConfiguration配置类中的sharedObjects中获取的。

	@Override
	public void configure(B http) {
		AuthenticationManager authenticationManager = http
				.getSharedObject(AuthenticationManager.class);
		BasicAuthenticationFilter basicAuthenticationFilter = new BasicAuthenticationFilter(
				authenticationManager, this.authenticationEntryPoint);

在上篇提到密码授权模式中使用的ResourceOwnerPasswordTokenGranter，而在其中AuthenticationManager就是我们配置成bean的AuthenticationManager对象传入AuthorizationServerEndpointsConfigurer中，最终传入ResourceOwnerPasswordTokenGranter中。

	private List<TokenGranter> getDefaultTokenGranters() {
		ClientDetailsService clientDetails = clientDetailsService();
		AuthorizationServerTokenServices tokenServices = tokenServices();
		AuthorizationCodeServices authorizationCodeServices = authorizationCodeServices();
		OAuth2RequestFactory requestFactory = requestFactory();

		List<TokenGranter> tokenGranters = new ArrayList<TokenGranter>();
		tokenGranters.add(new AuthorizationCodeTokenGranter(tokenServices, authorizationCodeServices, clientDetails,
				requestFactory));
		tokenGranters.add(new RefreshTokenGranter(tokenServices, clientDetails, requestFactory));
		ImplicitTokenGranter implicit = new ImplicitTokenGranter(tokenServices, clientDetails, requestFactory);
		tokenGranters.add(implicit);
		tokenGranters.add(new ClientCredentialsTokenGranter(tokenServices, clientDetails, requestFactory));
		if (authenticationManager != null) {
			tokenGranters.add(new ResourceOwnerPasswordTokenGranter(authenticationManager, tokenServices,
					clientDetails, requestFactory));
		}
		return tokenGranters;
	}

案例中两个AuthenticationManager是如何切换认证的

在AuthenticationManager实现类ProviderManager源码authenticate(Authentication authentication)方法中，遍历所有AuthenticationProvider ，使用支持该authentication具体类型的AuthenticationProvider进行认证。而这里的AuthenticationManager对象是一个包含AnonymousAuthenticationProvider，parentAuthenticationManager使用我们配置bean的UserDetailsService的DaoAuthenticationProvider的AuthenticationManager。而AuthenticationManager对象找不到匹配的AuthenticationProvider对象，会尝试使用parentAuthenticationManager进行重试，进而使用我们配置bean的UserDetailsService的DaoAuthenticationProvider进行认证。

		for (AuthenticationProvider provider : getProviders()) {
			if (!provider.supports(toTest)) {
				continue;
			}

			if (debug) {
				logger.debug("Authentication attempt using "
						+ provider.getClass().getName());
			}

			try {
				result = provider.authenticate(authentication);

				if (result != null) {
					copyDetails(authentication, result);
					break;
				}
			}

		if (result == null && parent != null) {
			// Allow the parent to try.
			try {
				result = parentResult = parent.authenticate(authentication);
			}

总结

spring-security-oauth2与spring-security中使用了大量的设计模式，代理模式、建造者模式、模板方法模式、适配器模式等，不熟悉的话对阅读源码会有一定的障碍。至此，本篇将案例中两个AuthenticationManager基本分析清楚了。

-aonez-
关注
专栏目录
线程安全之Runnable多实例和单实例
tobearc的专栏
03-11 1293
多个线程访问共享变量，会导致线程安全问题，导致共享变量值被非预期改变。 那么什么情况会导致共享变量存在呢？ 1、类的静态变量 2、多个线程，单个Runable实例，其内部全局变量是共享的 本文主要说明Runnable多实例和单实例（即：上述第2点）的区别及可能产生的问题，详细见代码及注释。 import java.util.concurrent.TimeUnit; /** * *...
OAuth2与spring-security-oauth2
dev3932的博客
12-24 680
OAuth2与spring-security-oauth2OAuth2OAuth2是什么OAuth2中4种授权模式spring-security-oauth2spring-security-oauth2是什么搭建spring-security-oauth2案例环境版本pom.xmlapplication.yml目录结构密码模式获取token访问受保护的资源授权码模式获取code获取token访问受保护的资源结语 OAuth2 OAuth2是什么 关于这块概念可以参考： https://www.jianshu
线程安全的单例模式
iteye_7202的博客
06-05 151
    老大一直说要用这个来做面试题，让面试的人来写一个线程安全的单例模式，感觉自己还没掌握，把 Head first--Design Patterns 找了出来，以下大部分内容抄袭自这本书，略有增删改。   1. 全局变量的缺点：      必须在程序一开始就创建好对象，如果程序在这次的执行过程中又一直没用到它，就非常耗费资源。   2. 经典的单例模式实现：     publ...
Spring security的SecurityConfig配置时 userDetailsService报错如何解决？
最新发布
qq_42631788的博客
08-30 1223
仅为个人知识分享及开发中遇到的问题总结，希望对你有所帮助，若有问题欢迎指正~😊。接口的类，而你可能传递的是。通过这些修改，你应该能够将。使用，并解决上述错误。
Java 多线程(四种创建方式/线程安全/同步/单例模式线程安全)
qq_39579087的博客
09-19 348
进程和线程 对上图说明如下： 方法区和堆是在一个进程内的，即多个线程共享 虚拟机栈和程序计数器每个线程都有属于自己的一套 理解：进程相当于大家合租房子，线程相当于每个人，方法区和堆相当于公共厨房、客厅，大家可以共享这些区域，虚拟机栈和程序计数器相当于每个小卧室，只有线程自己才能访问。 为什么要用多线程 设想这样一种情况，将文件A从C盘移动到D盘，将文件B从E盘移动到F盘，现在有两种解决方案(单核CPU)： 先移动A，完成后再移动B 同时移动A和B 那么，哪种方式更快呢？ 是方案一，因为同时移动
Java中创建单例模式的五种方法及线程安全
wk51920的专栏
09-04 917
背景        单例模式在日常工程项目中应用十分广泛，但是如果没有考虑线程安全的问题，可能会在多线程环境下产生错误的结果，生成多个实例。公共类        以下两个类，是本次实验中用到的两个公共类，SingletonFactory用于创建各种单例对象，SingletonTest用于测试各种单例模式的线程安全性。public interface SingletonFactory { pu
单例在多线程中保证线程安全
m0_38068812的博客
10-02 308
   在多线程模式中，考虑到性能和线程安全问题，一般选择两种比较经典的单例模式，既能提高性能，也能保证线程安全 1、double check instance 双重检查锁定    原理参考链接：双重检查锁定原理链接 public class DubbleSingleton { private volatile static DubbleSingleton ds; public...
spring-security-oauth2源码
06-30
Spring Security OAuth2 是一个强大的框架，用于为Java应用提供OAuth2和OpenID Connect...通过阅读和分析`spring-security-oauth-master`中的源码，可以更深入地了解其实现细节，有助于在实际项目中灵活运用和定制。
如何全面升级spring-boot-2.x及Spring-security-oauth2
Cmainlove的专栏
06-17 2597
解决CVE-2022-22978和CVE-2022-22965漏洞，全面升级spring-boot-2.x及Spring-security-oauth2
spring-security-oauth2 源码分析A路线（一）
dev3932的博客
12-25 569
文章目录前言一、pandas是什么？二、使用步骤1.引入库2.读入数据总结 前言 本篇分析spring-security-oauth2 源码，从最初的注解开始，一步一步逆向分析源码。逆向分析跳跃性会比较大一些，需要仔细分析。 提示：以下是本篇文章正文内容，下面案例可供参考 一、pandas是什么？ 示例：pandas 是基于NumPy 的一种工具，该工具是为了解决数据分析任务而创建的。 二、使用步骤 1.引入库 代码如下（示例）： import numpy as np import pandas as
java 多线程的单例模式_Java多线程下的单例模式参考
weixin_42299888的博客
02-12 118
单例有多种的写法，本例是懒汉式单例的一种写法。在高并发环境下需要注意的是：1.单例在并发访问并调用其相应的getInstance方法的时候也会造成创建多个实例对象，加锁是必要的。2.使用synchronized是比较好的解决方案，优点是代码简洁，缺点是在抛出异常的时候不能处理维护使系统处于良好状态。3.显示的lock设定是良好的解决方案。使用lock的代码如下：package demo;impor...
Spring Security入门学习
Herishwater的博客
12-12 686
Spring Security 是为基于 Spring 的应用程序提供声明式安全保护的安全性框架。本文主要介绍如何使用 Spring Security来实现登录认证与授权，比较简单，后续会深入源码分析认证与授权流程。
2021-10-19
lfc_255的博客
10-19 167
一、spring security 简介         spring security 的核心功能主要包括： 认证 （你是谁）授权 （你能干什么）攻击防护 （防止伪造身份）      其核心就是一组过滤器链，项目启动后将会自动配置。最核心的就是 Basic Authentication Filter 用来认证用户的身份，...
我即将出生的儿子的爸爸是我即将出生的儿子？(记一次Security的无限递归错误)
qq_41032824的博客
07-23 422
spring security的默认设置已经足够强大，可以完成绝大部分的需求了。但是仍有许多细微的地方无法使用默认设置或者是简单设置来修改。这次我就在自定义设置的时候遇到了一个比较有趣的问题。 首先说我的需求，使用security做授权的时候，直接设置一个UserDetailsService到容器中就可以实现用户名/密码方式的授权了。但是有个问题，当用户不存在时，在UserDetailsService#loadUserByUsername中抛出UsernameNotFoundException的异常，但是返
springSecurity安全框架的学习和原理解读
执笔写童话的博客
04-25 1137
转 springSecurity安全框架的学习和原理解读 标签： java springsecurity 更多 最近在公司的项目中使用了spring security框架，所以有机会来学习一下，公司的项目是使用springboot搭建 springBoot版本1.59 spring security 版本4.2.3 （个人理解可能会有偏差，希望有不正确之处，大家能够指出来，共同探讨交流。） 目录...
聊聊spring security oauth2的几个endpoint的认证
weixin_34233856的博客
12-12 1688
序 本文就来讲一下spring security oauth2的几个endpoint的认证 endpoint spring-security-oauth2-2.0.14.RELEASE-sources.jar!/org/springframework/security/oauth2/config/annotation/web/configuration/AuthorizationServerEnd...
spring security——基本介绍（一）
热门推荐
随笔记
01-16 40万+
一、spring security 简介 spring security 的核心功能主要包括： 认证 （你是谁） 授权 （你能干什么） 攻击防护 （防止伪造身份） 其核心就是一组过滤器链，项目启动后将会自动配置。最核心的就是 Basic Authentication Filter 用来认证用户的身份，一个在spring security中一种过滤器处理一种认证方式...
Spring Security(4)：自定义配置
weixin_30407099的博客
06-03 253
接着上节的讲，在添加了@EnableWebSecurity注解后，如果需要自定义一些配置，则需要和继承WebSecurityConfigurerAdapter后，覆盖某些方法。 我们来看一下WebSecurityConfigurerAdapter中哪些方法可以重写，需要重写。 （1）WebSecurity 默认是一个空方法，一般也不会再重写。 public void confi...
SpringSecurity源码学习（五）
ifeengwd2012的博客
03-11 477
总结创建HttpSecuirty的创建过程，及其构建SecurityFilterChain过程。
深入解析SpringSecurity OAuth2.0源码及其应用
接下来，让我们分析 Spring Security OAuth2.0 源码中可能涉及到的关键组件和类： 1. `AuthorizationServerConfigurerAdapter`：这是一个配置授权服务器的适配器类，它提供了一系列回调方法，允许开发者自定义授权...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值