spring Security框架的身份验证

最新推荐文章于 2025-02-10 10:41:04 发布

flagsjh

最新推荐文章于 2025-02-10 10:41:04 发布

阅读量1.2k

点赞数 5

文章标签：数据库服务器运维

本文链接：https://blog.csdn.net/flagsjh/article/details/139653636

版权

在Spring Security框架中，UsernamePasswordAuthenticationToken类是用于表示基于用户名和密码进行身份验证的认证请求的对象。

该类继承自AbstractAuthenticationToken类，是其一个具体子类。在UsernamePasswordAuthenticationToken类中，存储了用户名和密码这两个凭据信息。

下面是UsernamePasswordAuthenticationToken类的构造方法：

public UsernamePasswordAuthenticationToken(Object principal, Object credentials) {
    super(null);
    this.principal = principal;
    this.credentials = credentials;
    setAuthenticated(false);
}

该构造方法接受两个参数，分别是身份验证的主体（principal）和凭据（credentials）。主体通常是表示用户的对象，凭据则是用户提供的密码等认证信息。

UsernamePasswordAuthenticationToken类还提供了一些其他方法，如getPrincipal()用于获取主体，getCredentials()用于获取凭据等。

在Spring Security的身份验证过程中，UsernamePasswordAuthenticationToken对象通常被创建并传递给AuthenticationProvider接口的实现类来进行身份验证。验证成功后，UsernamePasswordAuthenticationToken对象的authenticated属性会被设置为true。

这样，UsernamePasswordAuthenticationToken对象就可以在后续的授权过程中使用，用于表示已通过身份验证的认证信息。

SecurityContextHolder是Spring Security框架提供的一个工具类，用于管理当前线程中的安全上下文。

安全上下文是一个包含了当前用户的身份验证信息和授权信息的对象，它通过SecurityContextHolder类来进行管理。

SecurityContextHolder类提供了以下方法：

getContext()：获取当前线程的安全上下文对象。

public static SecurityContext getContext()

setContext(SecurityContext context)：设置当前线程的安全上下文对象。

public static void setContext(SecurityContext context)

getAuthentication()：获取当前线程的安全上下文对象中的认证信息Authentication对象。

public static Authentication getAuthentication()

setAuthentication(Authentication authentication)：设置当前线程的安全上下文对象中的认证信息Authentication对象。

public static void setAuthentication(Authentication authentication)

clearContext()：清除当前线程的安全上下文对象。

public static void clearContext()

在使用SecurityContextHolder时，我们可以通过getContext()方法获取当前线程的安全上下文对象，并利用该对象获取当前用户的认证信息。

对于setAuthentication(Authentication authentication)方法，我们可以通过该方法来设置当前线程的安全上下文对象中的认证信息。

例如，我们可以在用户登录成功后，创建一个UsernamePasswordAuthenticationToken对象表示用户的认证信息，然后使用setAuthentication()方法将该对象设置到安全上下文中，用于后续的授权过程。

需要注意的是，SecurityContextHolder是一个线程安全的类，并且在一个请求处理周期内，可以在多个方法间共享安全上下文对象。

AnonymousAuthenticationToken是Authentication接口的一个实现类，用于表示匿名用户的认证信息。

在Spring Security中，当用户尚未进行身份验证时，会使用AnonymousAuthenticationToken来表示当前用户的认证信息。这通常用于匿名用户访问需要身份验证的资源。

AnonymousAuthenticationToken包含了以下属性：

principal：表示当前用户的身份信息。在AnonymousAuthenticationToken中，该属性通常被设置为一个String类型的值，表示匿名用户的标识。默认值为"anonymousUser"。
credentials：表示当前用户的凭证信息。在AnonymousAuthenticationToken中，该属性通常被设置为空字符串。
authorities：表示当前用户被授予的权限信息。在AnonymousAuthenticationToken中，通常只有一个GrantedAuthority对象，表示用户拥有的角色。默认角色为"ROLE_ANONYMOUS"。

当用户进行身份验证后，AnonymousAuthenticationToken会被替换为真实的认证信息，例如UsernamePasswordAuthenticationToken或JwtAuthenticationToken等。

在SecurityContextHolder的安全上下文对象中，通过getAuthentication()方法可以获取当前用户的认证信息对象。如果当前用户是匿名用户，则返回的对象就是AnonymousAuthenticationToken。

需要注意的是，AnonymousAuthenticationToken只是Authentication接口的一个实现，它表示的是用户的认证信息，而不包含用户的授权信息。用户的授权信息可以通过getAuthorities()方法获取。

bstractUserDetailsAuthenticationProvider是Spring Security提供的一个抽象类，用于对用户的身份验证进行进一步的验证和处理。在AbstractUserDetailsAuthenticationProvider中，有一个additionalAuthenticationChecks方法，用于执行额外的身份验证

retrieveUser方法是AbstractUserDetailsAuthenticationProvider中的一个抽象方法，用于从用户详细信息存储库（如数据库）中检索用户详细信息。

在身份验证的过程中，Spring Security首先会调用retrieveUser方法来获取用户详细信息。该方法接收两个参数：