Spring Security Authentication Provider

Spring Security Authentication Provider 介绍

本文介绍spring security如何相比简单的UserDetailService上实现灵活的认证。

Authentication Provider

spring security提供了多种执行认证方式，但都遵循一个简单的约定——AuthenticationProvider处理认证请求，然后返回授信后的完整认证对象。

标准的、最常用的实现是DaoAuthenticationProvider——从只读user Dao中返回 user details。user details仅通过username发挥整个用户实体，大多数场景这完全可以满足。

很多特定场景仍然需要访问完整的认证请求去执行认证过程——举例，当对一些外部第三方认证服务,认证请求需要用户名和密码，两者都是必须的。

针对这些情况，我们需要自定义Authentication Provider。

@Component
public class CustomAuthenticationProvider
  implements AuthenticationProvider {
 
    @Override
    public Authentication authenticate(Authentication authentication) 
      throws AuthenticationException {
  
        String name = authentication.getName();
        String password = authentication.getCredentials().toString();
         
        if (shouldAuthenticateAgainstThirdPartySystem()) {
  
            // use the credentials
            // and authenticate against the third-party system
            return new UsernamePasswordAuthenticationToken(
              name, password, new ArrayList<>());
        } else {
            return null;
        }
    }
 
    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(
          UsernamePasswordAuthenticationToken.class);
    }
}

注意，上面代码中返回的认证对象中授权权限是空，因为实际中应该有特定应用给提供。

注册Authentication Provider

现在Authentication Provider已经定义好了，我们需要在Security Configuration中进行注册，可以使用xml和javaConfig方式，两者意义都一样，下面给出javaConfig方式代码：

@Configuration
@EnableWebSecurity
@ComponentScan("org.baeldung.security")
public class SecurityConfig extends WebSecurityConfigurerAdapter {
  
    @Autowired
    private CustomAuthenticationProvider authProvider;
 
    @Override
    protected void configure(
      AuthenticationManagerBuilder auth) throws Exception {
  
        auth.authenticationProvider(authProvider);
    }
 
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().anyRequest().authenticated()
            .and()
            .httpBasic();
    }
}

测试认证

对客户端来说，服务器端是否为自定义Authentication Provider都一样，我们使用简单的curl命令行工具（windows用户可以通过git bash）发送认证请求：

curl --header "Accept:application/json" -i --user user1:user1Pass 
    http://localhost:8080/spring-security-custom/api/foo/1

上面示例中我们使用http基本认证保护rest api。因此从服务器端返回期望的200。

HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
Set-Cookie: JSESSIONID=B8F0EFA81B78DE968088EBB9AFD85A60; Path=/spring-security-custom/; HttpOnly
Content-Type: application/json;charset=UTF-8
Transfer-Encoding: chunked
Date: Sun, 02 Jun 2013 17:50:40 GMT

总结

本文讨论了如何在spring Security中自定义Authentication Provider。