Spring Security认证授权流程

1：Spring  Security

当涉及到应用程序的安全性时，身份验证和授权是至关重要的。确保只有合法用户可以访问敏感资源，并且对资源的访问进行适当的权限控制是应用程序安全的核心要素之一。而Spring Security作为一个功能强大且广泛使用的框架，提供了一套灵活、可扩展的解决方案来简化和加强身份验证和授权过程。

2：Spring Security验证用户信息

       2.1: 验证用户信息时，通常会涉及到以下关键的步骤和类

身份验证提供者（Authentication Provider）	身份验证提供者是实际执行身份验证过程的组件。Spring Security提供了多个默认的身份验证提供者，其中最常用的是DaoAuthenticationProvider。DaoAuthenticationProvider通过与数据库交互，验证用户名和密码的正确性。你也可以根据需要自定义身份验证提供者，例如与LDAP、OAuth等进行集成
用户详情服务（UserDetailsService）	用户详情服务负责加载用户的详细信息。当身份验证提供者需要验证用户凭证时，它会调用用户详情服务来获取用户信息。这些信息包括用户名、密码、角色、权限等。通常情况下，你需要实现UserDetailsService接口，并覆盖loadUserByUsername方法，在方法中根据用户名加载用户详情。
UserDetails接口	UserDetails接口是表示用户详情的实体。它包含了用户的身份信息和权限信息。UserDetailsService根据用户名加载用户详情时，返回一个实现了UserDetails接口的对象。这个对象包含了用户的详细信息，如用户名、密码、角色、权限等。
密码加密器（Password Encoder）	码加密器用于对用户提供的密码进行加密，以确保密码的安全性。在验证用户凭证时，Spring Security将使用相同的加密算法和盐值对用户提交的密码进行加密，并与存储在数据库中的加密密码进行比较。这样可以防止密码被明文存储或传输。

在验证用户信息的过程中，身份验证提供者会利用用户详情服务根据用户名加载用户的详细信息。然后，它会将用户提交的凭证与用户详情中的信息进行比对，以确认用户的身份是否有效。如果验证成功，认证流程将会继续向下进行，并创建一个身份验证对象（Authentication）。

通过验证用户信息，Spring Security能够确保只有合法用户可以访问应用程序的受限资源，从而增强了应用程序的安全性。

3：Spring Security的认证流程

             

 3.1在Spring Security认证流程中，以下是一些核心类及其作用：    

AuthenticationManager	身份验证管理器，是认证流程的核心。它负责处理身份验证请求，并委托给一个或多个AuthenticationProvider进行实际的身份验证过程。
AuthenticationProvider	身份验证提供者，用于实际验证用户的身份信息。通常情况下，会使用DaoAuthenticationProvider来与数据库进行交互验证用户名和密码，但你也可以自定义其他类型的提供者
UserDetails/UserDetailsService	UserDetails接口表示用户的详细信息，包括用户名、密码、角色、权限等。UserDetailsService接口用于根据用户名加载用户详情。在认证流程中，AuthenticationManager会使用UserDetailsService来获取用户的详细信息，以便进行身份验证。
Authentication/UsernamePasswordAuthenticationToken	Authentication接口表示一个已经通过身份验证的用户主体。UsernamePasswordAuthenticationToken是Authentication的默认实现，用于封装用户提供的用户名和密码。
SecurityContext/SecurityContextHolder	SecurityContext是一个线程本地的存储，用于保存当前用户的身份验证对象。SecurityContextHolder是访问和操作SecurityContext的入口点。
AuthenticationFilter	身份验证过滤器，用于处理登录请求并进行身份验证。它从用户提交的凭证（如用户名、密码）构建一个认证对象，并将其传递给AuthenticationManager进行验证。

3.2代码分析

      3.2.1:第一步

                我们通过浏览器访问我们自己的login页面

3.2.2:第二步

默认的登录是用UsernamepasswordAuthencitionFilter过滤器去拦截

通过Authentication接口的实现子类UsernamePasswordAuthenticationToken封装Authentication对象，这里只有用户名和密码，还没有权限

3.2.3 第三步

调用AuthenticationManager的authenticate方法进行认证

因为AuthenticationManager中管理了一群Provider，所以调用的就是那一群Provider的authenticate方法进行认证调用DaoAuthenticationProvider的authenticate方法进行认证

3.2.4 第四步

调用DaoAuthenticationProvider的authenticate方法进行认证

3.2.5 第五步

获得DaoAuthenticationProvider的UserDetailService对象，再调用此对象的loadUserByUsername方法查询用户信息

3.3:spring Security的基本认证流程主要包括以下五个步骤：

• 用户提交登录请求，包含用户名和密码等凭证信息。
• Spring Security通过身份验证提供者对用户凭证进行验证，并调用用户详情服务加载用户的详细信息。
• 在验证成功后，Spring Security创建并管理安全上下文对象，其中包含验证通过的身份验证对象。
• 随后，Spring Security进行授权检查，根据配置的访问规则决定用户是否有权限访问受限资源。
• 最后，返回认证和授权的结果，允许或拒绝用户的访问请求

这些步骤中涉及到的核心组件包括AuthenticationManager、AuthenticationProvider、UserDetailsService、UserDetails、SecurityContext和SecurityContextHolder。通过这些组件的协同工作，Spring Security能够有效地进行用户身份验证和授权处理，保护应用程序的安全性。