(源码分析)springsecurity认证授权

了解

1. 结构总览

 SpringSecurity所解决的问题就是安全访问控制，而安全访问控制功能其实就是对所有进入系统的请求进行拦截，校验每个请求是否能够访问它所期望的资源。

根据前边知识的学习，可以通过Filter或AoP等技术来实现，SpringSecurity对web资源的保护是靠Filter实现的，所以从这个Filter来入手，逐步深入SpringSecurity 原理。当初始化SpringSecurity时，会创建一个名为SpringSecurityFilterChain的 Servlet过滤器，类型为org.springframework.security.web.FilterChainProxy，它实现了javax.servlet.Filter，因此外部的请求会经过此类，下图是 Spring Security过虑器链结构图：

 

上图说明：

FilterchainProxy是一个代理，真正起作用的是FilterChainProxy中securityFilterChain所包含的各个Filter，同时这些Filter作为Bean被Spring管理，它们是SpringSecurity核心，各有各的职责，但他们并不直接处理用户的认证，也不直接处理用户的授权，而是把它们交给了认证管理器：AuthenticationManager和决策管理器：AccessDecisionManager。进行处理下图是 FilterChainProxy相关类的UML图示：

 2. 过滤器链中主要的几个过滤器及其作用

2.1 SecurityContextPersistenceFi1ter

这个Filter是整个拦截过程的入口和出口（也就是第一个和最后一个拦截器)，会在请求开始时从配置好的 SecurityContextRepesitory中获取SecurityContext，然后把它设置给securityContextHolder。在请求完成后将SecurityContextHolder持有的SecurityContext再保存到配置好的SecurityContextRepository ，同时清除securityContextHolder所持有的SecurityContext。

2.2 UsernamePasswordAuthenticationFilter

用于处理来自表单提交的认证。该表单必须提供对应的用户名和密码，其内部还有登录成功或失败后进行处理的AuthenticationSuccessHandler和AuthenticationFailureHandler，这些都可以根据需求做相关改变。

2.3 FilterSecurityInterceptor

是用于保护web资源的，使用AccessDecisionManager对当前用户进行授权访问。

2.4 ExceptionTranslationFilter

能够捕获来自Filterchain所有的异常，并进行处理。但是它只会处理两类异常：AuthenticationException和 AccessDeniedException，其它的异常它会继续抛出。

3. Spring security 认证工作流程

3.1 认证流程图

 

查询数据库进行比对。

查询用户信息的代码--->UserDetailsService中loadUserByUsername该方法。 我们只需要重写该方法即可。