SpringSecurity（一）核心功能

前言

最近在潜心研究一下安全框架，并在此进行一下记录，如有不对还请不吝赐教。

对于一个安全管理管理框架而言，无论是Shiro还是SpringSecurity，最核心的功能，无非就是两个

• 认证：你是谁？
• 授权：你可以做什么

认证

SpringSecurity支持多种不同的认证方式，这些认证方式有的是SpringSecurity自己提供的认证功能，有的是第三方标准组织制定的。SpringSecurity集成的主流认证机制主要有如下几种：

• 表单认证
• OAuth2.0认证
• SAML2.0认证
• CAS认证
• RememberMe自动认证
• JAAS认证
• OpenID认证
• Pre-Authentication Scenarios认证
• X509认证
• HTTP Basic认证
• HTTP Digest认证

作为一个开放的平台，SpringSecurity提供的认证机制不仅仅包括上面，我们还可以通过引入第三方依赖来支持更多的认证方式，同时，如果这些认证方式无法满足我们的需求，我们也可以自定义认证逻辑，特别是当我们和一些“老破旧”的系统进行集成时，自定义认证就显得非常重要了。

授权

​ 无论采用了上面哪种方式认证，都不影响在SpringSecurity中使用授权功能。SpringSecurity支持基于URL的请求授权，支持方法的访问授权，支持SpEL访问控制，支持域对象安全，同时也支持动态权限配置、支持RBAC权限模型等，总之，我们常见的权限管理需求，SpringSecurity基本上都是支持的。

其他

​ 在认证和授权这两个核心功能之外，SpringSecurity还提供了很多安全管理的“周边功能”，这也是一个非常重要的特色，在开发中，即便我们不了解很多网络攻击，只要用了SpringSecurity它会帮助我们自动防御很多网络攻击，例如CSRF攻击，会话固定攻击等，同时还提供了HTTP防火墙来拦截大量的非法请求。

认证和授权

认证

在SpringSecurity的架构设计中，认证（Authentication）和授权（Authorization）是分开的，无论使用什么样的认证方式，都不会影响授权，这是两个独立的存在，这种独立带来的好处之一，就是可以非常方便地整合一些外部地认证方案。

在SpringScuerity中，用户地认证信息主要是由Authentication的实现类来保存，接口定义如下：

public interface Authentication extends Principal, Serializable {
    //用来获取用户的权限
	Collection<? extends GrantedAuthority> getAuthorities();
	//用来获取用户凭证，一般来说是密码
	Object getCredentials();
	//用来获取用户携带的详细信息，可能是当前请求之类等
	Object getDetails();
	//用来获取当前用户，例如是一个用户或一个用户对象
	Object getPrincipal();
	//当前用户是否认证成功。
	boolean isAuthenticated();
	
	void setAuthenticated(boolean isAuthenticated) throws IllegalArgumentException;

}

​ 当用户使用用户名/密码登录或者使用Remember-me登录时，都会对于一个不同的Authentication实例。

​ SpringSecurity中的认证工作主要由AuthenticationManager接口负责，我们来看一下该接口的定义

​

public interface AuthenticationManager {

	Authentication authenticate(Authentication authentication) throws AuthenticationException;

}

​ AuthenticationManager接口只有一个authenticate方法可以用来做认证，该方法有三个不同的返回值：

• 返回Authentication ： 表示认证成功

• 抛出AuthenticationException异常：表示用户输入了无效的凭证.

• 返回null，表示不能断定

  AuthenticationManager最主要的实现类是ProviderManager，ProviderManager管理了众多的AuthenticationProvider实例，AuthenticationProvider有点类似于AuthenticationManager，但是它多了一个supports方法用来短评是否指出给定的Authenticaion类型。

public interface AuthenticationProvider {

	Authentication authenticate(Authentication authentication) throws AuthenticationException;

	
	boolean supports(Class<?> authentication);

}

由于Authentication拥有众多不同的实现类，这些不同的实现类又由不能的AuthenticationProvider来处理，所以AuthenticationProvider会有一个supports方法，来判断当前的AuthenticationProvider是否支持对应的Authentication

在一次完整的认证流程中，可能会存在多个AuthenticationProvider（例如，项目同时支持form表单登录和短信验证码登录），多个AuthenticationProvider统一由ProviderManager管理，同时ProviderManager具有一个可选的parent，如果所有的AuthenticationProvider都认证失败，那么就算调用parent进行认证。parent相当于一个备用认证方式，即各个AuthenticationProvider都无法处理认证问题的时候，就由它来收拾。

授权

当认证完成后，接下来就是授权了。在SpringSecurity的授权体系中，有两个关键接口：

• AccessDecisionManager
• AccessDecisionVoter

AccessDecisionVoter是一个投票器，拉票器会检查用户是否具备应有的角色，进而投出赞成、反对或者弃权票，AccessDecisionManager则是一个决策器，来决定此次访问是否被允许。AccessDecisionVoter和AccessDecisionManager都有众多的实现类，在AccessDecisionManager中会挨个遍历AccessDecisionVoter，进而决定是否允许用户访问，因为AccessDecisionVoter和AccessDecisionManager两者的关系类似于AuthenticationProvider和ProviderManager的关系。

在SpringSecurity中，用户请求一个资源（通常是一个接口或者一个java方法）所需要的角色会被封装成一个ConfigAttribute对象，在ConfigAttribute中只有一个getAttribute方法，该方法返回一个Stirng字符串，就是角色名称。一般来说，角色名称都带有一个ROLE_ 前缀，投票器AccessDecisionVoter所做的事情，其实就算比较用户所具备的角色和请求某个资源所需要的ConfigAttribute之间的关系。