Security之授权流程篇

已于 2022-03-18 09:43:14 修改
阅读量584 收藏 1
点赞数
分类专栏： security 文章标签： security
于 2021-11-03 14:44:30 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43654581/article/details/121114820
版权

授权流程

1.Security 的授权访问是通过 FilterSecurityInterceptor 拦截器实现的

...

public class FilterSecurityInterceptor extends AbstractSecurityInterceptor implements Filter {
    ...
	// 拦截器的入口
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        this.invoke(new FilterInvocation(request, response, chain));
    }

   ...

    public void invoke(FilterInvocation filterInvocation) throws IOException, ServletException {
        if (this.isApplied(filterInvocation) && this.observeOncePerRequest) {
            filterInvocation.getChain().doFilter(filterInvocation.getRequest(), filterInvocation.getResponse());
        } else {
            if (filterInvocation.getRequest() != null && this.observeOncePerRequest) {
                filterInvocation.getRequest().setAttribute("__spring_security_filterSecurityInterceptor_filterApplied", Boolean.TRUE);
            }
			// 调用父类AbstractSecurityInterceptor的beforeInvocation()方法
            InterceptorStatusToken token = super.beforeInvocation(filterInvocation);

            try {
                filterInvocation.getChain().doFilter(filterInvocation.getRequest(), filterInvocation.getResponse());
            } finally {
                super.finallyInvocation(token);
            }

            super.afterInvocation(token, (Object)null);
        }
    }

    ...
}

2.查看 FilterSecurityInterceptor 的父类 AbstractSecurityInterceptor

...
public abstract class AbstractSecurityInterceptor
		implements InitializingBean, ApplicationEventPublisherAware, MessageSourceAware {

	...

	protected InterceptorStatusToken beforeInvocation(Object object) {
		...
		
		// 从SecurityMetadataSource获取访问资源所需要的权限信息
		Collection<ConfigAttribute> attributes = this.obtainSecurityMetadataSource().getAttributes(object);
		if (CollectionUtils.isEmpty(attributes)) {
			...
		}
		...
		
		// 从上下文获取Authentication认证对象(包含权限信息)，如果没有就进行认证
		Authentication authenticated = authenticateIfRequired();
		...
		
		// 尝试授权
		attemptAuthorization(object, attributes, authenticated);
		...

		// 这里是重新创建一个包含访问资源权限跟认证对象拥有权限的认证对象，并存储到上下文
		// 不明白这么做的目的
		Authentication runAs = this.runAsManager.buildRunAs(authenticated, object, attributes);
		if (runAs != null) {
			...
			return new InterceptorStatusToken(origCtx, true, attributes, object);
		}
		this.logger.trace("Did not switch RunAs authentication since RunAsManager returned null");
		// no further work post-invocation
		return new InterceptorStatusToken(SecurityContextHolder.getContext(), false, attributes, object);

	}

	// 从上下文获取Authentication认证对象(包含权限信息)，如果没有就进行认证
	private Authentication authenticateIfRequired() {
		Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
		if (authentication.isAuthenticated() && !this.alwaysReauthenticate) {
			if (this.logger.isTraceEnabled()) {
				this.logger.trace(LogMessage.format("Did not re-authenticate %s before authorizing", authentication));
			}
			return authentication;
		}
		authentication = this.authenticationManager.authenticate(authentication);
		// Don't authenticated.setAuthentication(true) because each provider does that
		if (this.logger.isDebugEnabled()) {
			this.logger.debug(LogMessage.format("Re-authenticated %s before authorizing", authentication));
		}
		SecurityContextHolder.getContext().setAuthentication(authentication);
		return authentication;
	}

	// 尝试授权
	private void attemptAuthorization(Object object, Collection<ConfigAttribute> attributes,
			Authentication authenticated) {
		try {
			this.accessDecisionManager.decide(authenticated, object, attributes);
		}
		catch (AccessDeniedException ex) {
			if (this.logger.isTraceEnabled()) {
				this.logger.trace(LogMessage.format("Failed to authorize %s with attributes %s using %s", object,
						attributes, this.accessDecisionManager));
			}
			else if (this.logger.isDebugEnabled()) {
				this.logger.debug(LogMessage.format("Failed to authorize %s with attributes %s", object, attributes));
			}
			publishEvent(new AuthorizationFailureEvent(object, attributes, authenticated, ex));
			throw ex;
		}
	}

	...
}

3.获取访问资源所需要的权限
数据源SecurityMetadataSource

... 
public interface SecurityMetadataSource extends AopInfrastructureBean {

	Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException;

	Collection<ConfigAttribute> getAllConfigAttributes();

	boolean supports(Class<?> clazz);
}

3.1SecurityMetadataSource有两个实现类，一个DefaultFilterInvocationSecurityMetadataSource
DefaultFilterInvocationSecurityMetadataSource#getAttributes：是从configure中获取访问权限

...
public class DefaultFilterInvocationSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {
    ...
    public Collection<ConfigAttribute> getAttributes(Object object) {
        HttpServletRequest request = ((FilterInvocation)object).getRequest();
        int count = 0;
        Iterator var4 = this.requestMap.entrySet().iterator();

        while(var4.hasNext()) {
            Entry<RequestMatcher, Collection<ConfigAttribute>> entry = (Entry)var4.next();
            if (((RequestMatcher)entry.getKey()).matches(request)) {
                return (Collection)entry.getValue();
            }

            if (this.logger.isTraceEnabled()) {
                Log var10000 = this.logger;
                Object var10002 = entry.getKey();
                Object var10003 = entry.getValue();
                ++count;
                var10000.trace(LogMessage.format("Did not match request to %s - %s (%d/%d)", var10002, var10003, count, this.requestMap.size()));
            }
        }

        return null;
    }

    public boolean supports(Class<?> clazz) {
        return FilterInvocation.class.isAssignableFrom(clazz);
    }
}

在这里插入图片描述

3.2 另一个实现类 AbstractMethodSecurityMetadataSource
这个是从方法注解上获取访问权限

...
public abstract class AbstractMethodSecurityMetadataSource implements MethodSecurityMetadataSource {

	protected final Log logger = LogFactory.getLog(getClass());

	@Override
	public final Collection<ConfigAttribute> getAttributes(Object object) {
		if (object instanceof MethodInvocation) {
			MethodInvocation mi = (MethodInvocation) object;
			Object target = mi.getThis();
			Class<?> targetClass = null;
			if (target != null) {
				targetClass = (target instanceof Class<?>) ? (Class<?>) target
						: AopProxyUtils.ultimateTargetClass(target);
			}
			Collection<ConfigAttribute> attrs = getAttributes(mi.getMethod(), targetClass);
			if (attrs != null && !attrs.isEmpty()) {
				return attrs;
			}
			if (target != null && !(target instanceof Class<?>)) {
				attrs = getAttributes(mi.getMethod(), target.getClass());
			}
			return attrs;
		}
		throw new IllegalArgumentException("Object must be a non-null MethodInvocation");
	}

	@Override
	public final boolean supports(Class<?> clazz) {
		return (MethodInvocation.class.isAssignableFrom(clazz));
	}

}

在这里插入图片描述

4.上面的两种获取访问权限的方式，是依次进行的，当获取到需要访问权限之后，就开始获取认证对象了
在这里插入图片描述

5.开始尝试授权在这里插入图片描述

6.AccessDecisionManager是访问决策管理器，管理所有投票决策机制
AccessDecisionManager接口有三个实现类，他们通过AccessDecisionVoter投票器完成投票，
三种投票决策机制如下：
AffirmativeBased ：只需有一个投票赞成即可通过(默认)
ConsensusBased：需要大多数投票赞成即可通过，平票可以配置
UnanimousBased：需要所有的投票赞成才能通过

...
public interface AccessDecisionManager {

	void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes)
			throws AccessDeniedException, InsufficientAuthenticationException;

	boolean supports(ConfigAttribute attribute);

	boolean supports(Class<?> clazz);
}

7 默认的投票 AffirmativeBased
调用接口AccessDecisionVoter#vote，根据返回的结果来决定是否允许访问

...
public class AffirmativeBased extends AbstractAccessDecisionManager {

	public AffirmativeBased(List<AccessDecisionVoter<?>> decisionVoters) {
		super(decisionVoters);
	}
	
	@Override
	@SuppressWarnings({ "rawtypes", "unchecked" })
	public void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes)
			throws AccessDeniedException {
		int deny = 0;
		for (AccessDecisionVoter voter : getDecisionVoters()) {
			int result = voter.vote(authentication, object, configAttributes);
			switch (result) {
			case AccessDecisionVoter.ACCESS_GRANTED:
				return;
			case AccessDecisionVoter.ACCESS_DENIED:
				deny++;
				break;
			default:
				break;
			}
		}
		if (deny > 0) {
			throw new AccessDeniedException(
					this.messages.getMessage("AbstractAccessDecisionManager.accessDenied", "Access is denied"));
		}
		// To get this far, every AccessDecisionVoter abstained
		checkAllowIfAllAbstainDecisions();
	}

}

8.AccessDecisionVoter投票器， 实现类主要有 RoleVoter和AuthenticatedVoter。
RoleVoter为最为常见的AccessDecisionVoter，其为简单的权限表示，并以前缀为ROLE_

... 
public interface AccessDecisionVoter<S> {
	// 允许访问
	int ACCESS_GRANTED = 1;
	// 弃权
	int ACCESS_ABSTAIN = 0;
	// 拒绝访问
	int ACCESS_DENIED = -1;

	boolean supports(ConfigAttribute attribute);

	boolean supports(Class<?> clazz);

	int vote(Authentication authentication, S object, Collection<ConfigAttribute> attributes);

}


...
public class RoleVoter implements AccessDecisionVoter<Object> {

	private String rolePrefix = "ROLE_";

	public String getRolePrefix() {
		return this.rolePrefix;
	}

	public void setRolePrefix(String rolePrefix) {
		this.rolePrefix = rolePrefix;
	}

	@Override
	public boolean supports(ConfigAttribute attribute) {
		return (attribute.getAttribute() != null) && attribute.getAttribute().startsWith(getRolePrefix());
	}

	@Override
	public boolean supports(Class<?> clazz) {
		return true;
	}

	@Override
	public int vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes) {
		if (authentication == null) {
			return ACCESS_DENIED;
		}
		int result = ACCESS_ABSTAIN;
		// 认证对象拥有的权限信息
		Collection<? extends GrantedAuthority> authorities = extractAuthorities(authentication);
		// 访问资源需要的权限
		for (ConfigAttribute attribute : attributes) {
			if (this.supports(attribute)) {
				result = ACCESS_DENIED;
				// 匹配成功返回 1
				for (GrantedAuthority authority : authorities) {
					if (attribute.getAttribute().equals(authority.getAuthority())) {
						return ACCESS_GRANTED;
					}
				}
			}
		}
		return result;
	}

	Collection<? extends GrantedAuthority> extractAuthorities(Authentication authentication) {
		return authentication.getAuthorities();
	}
}


...
public class AuthenticatedVoter implements AccessDecisionVoter<Object> {

	public static final String IS_AUTHENTICATED_FULLY = "IS_AUTHENTICATED_FULLY";

	public static final String IS_AUTHENTICATED_REMEMBERED = "IS_AUTHENTICATED_REMEMBERED";

	public static final String IS_AUTHENTICATED_ANONYMOUSLY = "IS_AUTHENTICATED_ANONYMOUSLY";

	private AuthenticationTrustResolver authenticationTrustResolver = new AuthenticationTrustResolverImpl();

	private boolean isFullyAuthenticated(Authentication authentication) {
		return (!this.authenticationTrustResolver.isAnonymous(authentication)
				&& !this.authenticationTrustResolver.isRememberMe(authentication));
	}

	public void setAuthenticationTrustResolver(AuthenticationTrustResolver authenticationTrustResolver) {
		Assert.notNull(authenticationTrustResolver, "AuthenticationTrustResolver cannot be set to null");
		this.authenticationTrustResolver = authenticationTrustResolver;
	}

	@Override
	public boolean supports(ConfigAttribute attribute) {
		return (attribute.getAttribute() != null) && (IS_AUTHENTICATED_FULLY.equals(attribute.getAttribute())
				|| IS_AUTHENTICATED_REMEMBERED.equals(attribute.getAttribute())
				|| IS_AUTHENTICATED_ANONYMOUSLY.equals(attribute.getAttribute()));
	}

	@Override
	public boolean supports(Class<?> clazz) {
		return true;
	}

	@Override
	public int vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes) {
		int result = ACCESS_ABSTAIN;
		for (ConfigAttribute attribute : attributes) {
			if (this.supports(attribute)) {
				result = ACCESS_DENIED;
				// 是否已完全认证
				if (IS_AUTHENTICATED_FULLY.equals(attribute.getAttribute())) {
					if (isFullyAuthenticated(authentication)) {
						return ACCESS_GRANTED;
					}
				}
				// 是否记住我
				if (IS_AUTHENTICATED_REMEMBERED.equals(attribute.getAttribute())) {
					if (this.authenticationTrustResolver.isRememberMe(authentication)
							|| isFullyAuthenticated(authentication)) {
						return ACCESS_GRANTED;
					}
				}
				// 是否匿名访问
				if (IS_AUTHENTICATED_ANONYMOUSLY.equals(attribute.getAttribute())) {
					if (this.authenticationTrustResolver.isAnonymous(authentication)
							|| isFullyAuthenticated(authentication)
							|| this.authenticationTrustResolver.isRememberMe(authentication)) {
						return ACCESS_GRANTED;
					}
				}
			}
		}
		return result;
	}
}

总结

  • 1.FilterSecurityInterceptor#doFilter()方法拦截所有请求，并调用父类
    AbstractSecurityInterceptor#beforeInvocation()方法；
  • 2.在beforeInvocation()方法中，
    • 1).通过SecurityMetadataSource获取访问资源权限，有两种获取来源
      • a.从configure配置中获取DefaultFilterInvocationSecurityMetadataSource
      • b.从方法注解上获取AbstractMethodSecurityMetadataSource
    • 2).从上下文获取认证对象(包含权限信息)，上下文没有认证对象则进行认证操作
    • 3).尝试授权，委托给AccessDecisionManager访问决策管理器，提供三种投票决策机制
      • AffirmativeBased ：只需有一个投票赞成即可通过(默认)
      • ConsensusBased：需要大多数投票赞成即可通过，平票可以配置
      • UnanimousBased：需要所有的投票赞成才能通过
  • 3.在默认的AffirmativeBased决策机制中，遍历所有AccessDecisionVoter投票器，根据RoleVoter和AuthenticatedVoter 的投票结果决定是否允许访问

相关链接

首页
上一篇：认证流程篇
下一篇：短信登录篇

yzm4399
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
一篇文章带你搞定 Spring Security 的登录流程
南淮北安的博客
09-14 3914
为什么想和大家捋一捋 Spring Security 登录流程呢？这是因为之前小伙伴们的一个提问：如何在 Spring Security 中动态修改用户信息？ 如果你搞清楚了 Spring Security 登录流程，这其实不是问题。 先来大致描述一下问题场景： 你在服务端的安全管理使用了 Spring Security，用户登录成功之后，Spring Security 帮你把用户信息保存在 Session 里，但是具体保存在哪里，要是不深究你可能就不知道， 这带来了一个问题，如果用户在前端操作修改了当前
Spring Security 6.x 系列【43】授权服务器篇之设备授权模式
记录知识、锤炼自我
05-18 937
Device Authorization Grant设备授权来自于OAuth 2.0 RFC 8628文件规范，应用于缺少浏览器的连接设备，如智能电视、媒体控制台、数字相框和打印机等硬件设备，用户可以授权设备访问受保护资源。
spring security认证授权流程
weixin_47618391的博客
05-27 5365
在上面的示例代码中，我们实现了UserDetails接口，并指定了用户的角色和密码等详细信息。认证和授权是任何安全体系中的两个主要功能，而在现代Web开发中，Spring Security是最受欢迎和广泛使用的安全框架之一。在本篇文章中，我们将全面介绍Spring Security的认证和授权机制，并提供详细的步骤和示例代码。认证令牌是Spring Security中的核心概念，它包含有关用户身份的信息。用户在认证成功后，Spring Security将使用保存的认证令牌来确定用户是否有权访问特定的资源。
Security之认证流程篇
qq_43654581的博客
10-27 1195
Security之认证流程篇
如何利用SpringSecurity进行认证与授权
qq_63218110的博客
02-14 4134
本篇博客主要介绍SpringSecurity框架的学习，主要包含快速入门，以及认证、授权等方面的介绍，还涉及一些简单的自定义授权校验方法。
spring security 认证与授权流程上篇
c1523456的博客
06-30 2452
spring security context spring security context 谈到他我们就得谈一谈他的作用，生命周期接口如下 public interface SecurityContext extends Serializable { Authentication getAuthentication(); void setAuthentication(A...
Security之验证码篇
qq_43654581的博客
10-29 2874
访问登录页面时，显示图片验证码； 登录提交前，需要输入验证码，登录认证流程校验验证码正确性，校验失败提示验证码错误
Spring Security Oauth2 之 理解OAuth 2.0授权流程
热门推荐
vincent
04-03 1万+
总览 本系列针对Security-Oauth2架构的剖析，包括：oauth2.0认证架构详解、架构源码解读、核心结构配置。 本篇是对oauth2认证流程的概述，喜欢的多多pick！ 内容引用书籍：The OAuth 2.0 Authorization Framework gitHub 链接：https://g...
Spring Security 6.x 系列【39】授权服务器篇之授权端点自定义配置
记录知识、锤炼自我
05-15 727
在上篇文档中，我们了解了授权端点的整个执行流程，在实际开发中，默认的处理方式可能不符合业务场景，需要自定义配置，Spring Authorization Server也提供了强大的扩展能力。
Spring Security整合Oauth2实现流程详解
09-07
Spring Security 是一个强大的安全框架，它为Java应用程序提供了全面的安全管理解决方案。而OAuth2则是一种开放标准，用于授权第三方应用访问...希望这篇文章能帮助你更好地理解和应用Spring Security与OAuth2的集成。
SpringSecurity 默认表单登录页展示流程
08-25
在本篇文章中，我们将深入探讨SpringSecurity如何展示其默认的表单登录页面以及背后的流程。 首先，我们要了解的是准备工作。创建一个SpringBoot项目并添加SpringSecurity依赖是开始的基础。在项目的`pom.xml`中，...
spring-security3 入门篇
03-27
本入门篇将介绍Spring Security的基础知识，包括其核心概念、配置以及如何在实际项目中使用。 1. **核心概念** - **Authentication（认证）**: 用户身份验证是Spring Security的基础，它确认用户的身份是否合法。...
SpringSecurity应用
08-18
在本篇文章中，我们将深入探讨如何在实际项目中应用 Spring Security。 **1. 概述** Spring Security 旨在为开发人员提供一套全面的工具来实现安全性，使其能够在不牺牲应用程序设计的情况下，轻松地添加安全功能...
security oauth.zip
12-11
- 使用Spring Security OAuth2，开发者可以轻松地为自己的应用添加OAuth 2.0 保护，设置授权流程、令牌存储和验证策略。 5. **最佳实践**： - 分离授权服务器和资源服务器，以减少攻击面。 - 限制令牌的使用范围...
【创新未发表】Matlab实现黏菌优化算法SMA-Kmean-Transformer-LSTM负荷预测算法研究.rar
最新发布
07-29
1.版本：matlab2014/2019a/2021a 2.附赠案例数据可直接运行matlab程序。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。 5.作者介绍：某大厂资深算法工程师，从事Matlab算法仿真工作10年；擅长智能优化算法、神经网络预测、信号处理、元胞自动机等多种领域的算法仿真实验，更多仿真源码、数据集定制私信+。 替换数据可以直接使用，注释清楚，适合新手
PyTorch使用教程.pdf
07-29
PyTorch 是一个开源的机器学习库，广泛用于计算机视觉和自然语言处理等领域。以下是一个简化的 PyTorch 使用教程，不采用分点或Markdown格式。 首先，确保你安装了 PyTorch。你可以通过访问 PyTorch 官网获取安装指令，根据你的系统环境（如 Windows, macOS, Linux）和是否使用 GPU 支持进行安装。 安装完成后，你可以开始编写 PyTorch 代码了。 这里，我们将通过一个简单的例子来展示 PyTorch 的基本用法：创建一个简单的神经网络来识别手写数字（基于 MNIST 数据集）。
ubuntu man帮助手册
07-29
ubuntu man帮助手册
彩屏驱动开发技术资料提高篇TFT-51-11.zip
07-29
彩屏驱动开发技术资料提高篇TFT-51-11.zip
Spring Security 2.0配置详解：简化版教程
本文档深入讲解了Spring Security 2.0的配置精要，针对Acegi 1.x时代繁琐的配置方式，Spring Security进行了重大改进，提供了更加简洁的配置流程。作者首先强调了在升级到Spring Security 2时，如果配置依然沿用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值