用法:
Spring Security的核心逻辑全在这一套过滤器中,过滤器里会调用各种组件完成功能,掌握了这些过滤器和组件你就掌握了Spring Security!这个框架的使用方式就是对这些过滤器和组件进行扩展。
简单实用:
1、springboot加载pom
2、修改配置类当中的三个config函数。从而完成对于认证,授权的设置。
3、UserDetailService修改,扩展数据库的访问接口功能。(主要是修改用户名和密码来源于数据库)
自定义扩展使用方法一:
下面将模仿UsernamePasswordAuthenticationFilter创建一套认证使用的组件
1、写一个Filter过滤器,可以继承AbstractAuthenticationProcessingFilter(默认只拦截POST方式的’/login’的请求,具体见doFilter()方法)也可以继承GenericFilterBean
2、写AuthenticationProvider的实现类,这里使用的”认证主体“实现类是内置的UsernamePasswordAuthenticationToken,你也可以自定义一个
3、写一个UserDetialsService的实现类并注入到自定义的AuthenticationProvider的实现类中
4、写一个SecurityConfigurerAdapter的子类,将自定义的Filter和AuthenticationProvider加入到HttpSecurity对象中
自定义扩展使用方法二:
controller传递用户名和密码 – 生产内部token – 调用usernameandpasswordauthenticationfilter – 调用authenticationmanager的authenticate方法,authenticationmanager的实现providermanager,providermanager查找匹配的provider-- 调用匹配的provider的中的authenticate方法,实现验证,— 重写handler,成功返回suchandler,失败返回failhandler
所以自定义的过程就是:
1、重写过滤器
2、重写token
3、重写provider
4、重写handler,成功和失败不同的handler
5、添加进入spring security当中。httpSecurity.apply(new xxxxConfig())
自定义扩展使用方法三:
1、直接修改filter
2、直接修改provider
整理:
总体而言,就是你在写filter的时候,可以完全的抛弃spring security当中的内容,也可以在后边增加补充的认证内容。目前网络上的大部分实现,都是补充进行email认证,手机短信认证,但是用户名和密码认证都是保留spring security的usernamepasswordanthenticationfilter的内容。
其实,对于自定义方法三,就是不正宗的处理流程,虽然也进行了用户名和密码的判断,但是却破坏了spring security的流程。所以都是不正宗的做法。