spring security源码解析

已于 2024-08-12 17:11:47 修改
阅读量1.4k 收藏 29
点赞数 36
文章标签： spring 笔记 服务器
于 2024-08-12 17:06:41 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/tbb678822/article/details/141136616
版权

一、重要的类

源码讲解

SecurityContextPersistenceFilter作用

private void doFilter(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
      throws IOException, ServletException {
   // ensure that filter is only applied once per request
   if (request.getAttribute(FILTER_APPLIED) != null) {
      chain.doFilter(request, response);
      return;
   }
   request.setAttribute(FILTER_APPLIED, Boolean.TRUE);
   if (this.forceEagerSessionCreation) {
      HttpSession session = request.getSession();
      if (this.logger.isDebugEnabled() && session.isNew()) {
         this.logger.debug(LogMessage.format("Created session %s eagerly", session.getId()));
      }
   }
   HttpRequestResponseHolder holder = new HttpRequestResponseHolder(request, response);
    //每次请求开始，先从session中取认证信息
   SecurityContext contextBeforeChainExecution = this.repo.loadContext(holder);
   try {
       //取到后，放入ThreadLocal中
      SecurityContextHolder.setContext(contextBeforeChainExecution);
      if (contextBeforeChainExecution.getAuthentication() == null) {
         logger.debug("Set SecurityContextHolder to empty SecurityContext");
      }
      else {
         if (this.logger.isDebugEnabled()) {
            this.logger
                  .debug(LogMessage.format("Set SecurityContextHolder to %s", contextBeforeChainExecution));
         }
      }
       //放行，执行后续Filter和目标方法
      chain.doFilter(holder.getRequest(), holder.getResponse());
   }
   finally {
      SecurityContext contextAfterChainExecution = SecurityContextHolder.getContext();
      //清空ThreadLocal认证信息
      SecurityContextHolder.clearContext();
       //认证信息存入session（之前就有，也就是覆盖一道）
      this.repo.saveContext(contextAfterChainExecution, holder.getRequest(), holder.getResponse());
      request.removeAttribute(FILTER_APPLIED);
      this.logger.debug("Cleared SecurityContextHolder to complete request");
   }
}

  • UsernamePasswordAuthenticationFilter和AbstractAuthenticationProcessingFilter

private void doFilter(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
      throws IOException, ServletException {
   //判断是不是登录请求/login && POST，不是直接放行
    if (!requiresAuthentication(request, response)) {
      chain.doFilter(request, response);
      return;
   }
   try {
      Authentication authenticationResult = attemptAuthentication(request, response);
      if (authenticationResult == null) {
         // return immediately as subclass has indicated that it hasn't completed
         return;
      }
      this.sessionStrategy.onAuthentication(authenticationResult, request, response);
      // Authentication success
      if (this.continueChainBeforeSuccessfulAuthentication) {
         chain.doFilter(request, response);
      }
       //登录成功，把认证信息存入session中
      successfulAuthentication(request, response, chain, authenticationResult);
   }
   catch (InternalAuthenticationServiceException failed) {
      this.logger.error("An internal error occurred while trying to authenticate the user.", failed);
      unsuccessfulAuthentication(request, response, failed);
   }
   catch (AuthenticationException ex) {
      // Authentication failed
      unsuccessfulAuthentication(request, response, ex);
   }
}

FilterSecurityInterceptor

public void invoke(FilterInvocation filterInvocation) throws IOException, ServletException {
   if (isApplied(filterInvocation) && this.observeOncePerRequest) {
      filterInvocation.getChain().doFilter(filterInvocation.getRequest(), filterInvocation.getResponse());
      return;
   }
   if (filterInvocation.getRequest() != null && this.observeOncePerRequest) {
      filterInvocation.getRequest().setAttribute(FILTER_APPLIED, Boolean.TRUE);
   }
    //调用目标方法前，校验是否有权限，没有权限，直接抛AccessDeniedException异常，异常Filter捕获到后，会进行相应处理
   InterceptorStatusToken token = super.beforeInvocation(filterInvocation);
   try {
      filterInvocation.getChain().doFilter(filterInvocation.getRequest(), filterInvocation.getResponse());
   }
   finally {
      super.finallyInvocation(token);
   }
   super.afterInvocation(token, null);
}

过滤器链

WebAsyncManagerIntegrationFilter
SecurityContextPersistenceFilter
HeaderWriterFilter
LogoutFilter
UsernamePasswordAuthenticationFilter
DefaultLoginPageGeneratingFilter
DefaultLogoutPageGeneratingFilter
RequestCacheAwareFilter
SecurityContextHolderAwareRequestFilter
AnonymousAuthenticationFilter
SessionManagementFilter
ExceptionTranslationFilter
FilterSecurityInterceptor

  • 为什么引入spring-boot-starter-security，springboot项目所有资源都被保护起来了呢？

WebSecurityConfiguration

创建bean：springSecurityFilterChain

SpringBootWebSecurityConfiguration

  • 默认的自动配置类，给我们配置好了认证授权规则，即所有请求都需要认证授权
@Configuration(proxyBeanMethods = false)
@ConditionalOnDefaultWebSecurity
@ConditionalOnWebApplication(type = Type.SERVLET)
class SpringBootWebSecurityConfiguration {

    /**
    springboot默认帮我们配置好的：
    	所有请求都需要认证，可以是formLogin认证，httpBasic基本是不用了
    */
	@Bean
	@Order(SecurityProperties.BASIC_AUTH_ORDER)
	SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
		http.authorizeRequests().anyRequest().authenticated().and().formLogin().and().httpBasic();
		return http.build();
	}

}

@ConditionalOnDefaultWebSecurity

WebSecurityConfigurerAdapter

  • 如果我们需要自定义管理认证授权，我们可以重写WebSecurityConfigurerAdapter，使得默认配置类不生效

UserDetailsServiceAutoConfiguration

  • 自动注入 InMemoryUserDetailsManager，基于内存的认证

UserDetailsService

  • 认证数据源

二、认证

自定义资源认证规则

在这里插入图片描述

@Configuration
public class MyWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/hello").permitAll() //放行/hello，必须在.anyRequest()之前
                .anyRequest().authenticated() //其余请求需要认证
                .and().formLogin() //表单登录进行认证
                .and().httpBasic();
    }
}

自定义登录成功处理（前后端分离）

在这里插入图片描述

/*
登录成功处理
*/
public class MyAuthenticationSuccessHandler implements AuthenticationSuccessHandler {
    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        Map<String, Object> map = MapUtil.of("code", "0000");
        map.put("authentication", authentication);
        response.setCharacterEncoding("utf-8");
        response.setContentType("application/json");
        PrintWriter out = response.getWriter();
        out.write(new ObjectMapper().writeValueAsString(map));
        out.flush();
        out.close();
    }
}

显示登录错误信息

原理：AbstractAuthenticationProcessingFilter.unsuccessfulAuthentication

<h4>
  <span th:text="${session.SPRING_SECURITY_LAST_EXCEPTION}"></span>
</h4>

自定义登录失败（前后端分离）

在这里插入图片描述

public class MyAuthenticationFailureHandler implements AuthenticationFailureHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        Map<String, Object> map = MapUtil.of("code", "9999");
        map.put("msg", "认证失败，用户名或密码错误");
        response.setCharacterEncoding("utf-8");
        response.setContentType("application/json");
        PrintWriter out = response.getWriter();
        out.write(new ObjectMapper().writeValueAsString(map));
        out.flush();
        out.close();
    }
}

注销登录配置

默认是 /loginout

在这里插入图片描述

登录成功后获取用户信息

spring security 登录成功后，会将用户信息保存在session中，还有线程绑定，

默认是单线程中获取，不能在子线程中获取

  • SecurityContextHolder

  • SecurityContextHolderStrategy

代码中获取

@RequestMapping("/hello")
public Object hello(){
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    User principal = (User) authentication.getPrincipal();
    
    new Thread(() -> {
        Authentication authentication2 = SecurityContextHolder.getContext().getAuthentication();
        User principal2 = (User) authentication2.getPrincipal();
        log.info("principal2:{}", principal2);
    }).start();
    return authentication;
}

子线程中也能获取，需要改变配置：

-Dspring.security.strategy=MODE_INHERITABLETHREADLOCAL

在这里插入图片描述
在这里插入图片描述

页面中获取

<dependency>
  <groupId>org.thymeleaf.extras</groupId>
  <artifactId>thymeleaf-extras-springsecurity5</artifactId>
  <version>3.0.4.RELEASE</version>
</dependency>
  • 页面加入命名空间、使用
<html lang="en" xmlns:th="https://www.thymeleaf.org" 
xmlns:sec="http://www.thymeleaf.org/extras/spring-security">
    
<!--获取认证用户名-->
<ul>
  <li sec:authentication="principal.username"></li>
  <li sec:authentication="principal.authorities"></li>
  <li sec:authentication="principal.accountNonExpired"></li>
  <li sec:authentication="principal.accountNonLocked"></li>
  <li sec:authentication="principal.credentialsNonExpired"></li>
</ul>
tbb678822
关注
Spring Security源码解析（一）
qq_40577332的博客
05-30 3383
Spring Security是什么？ Spring官网中对Spring Security有这么一段介绍： Spring Security is a powerful and highly customizable authentication and access-control framework. It is the de-facto standard for securing Spring-based applications. Spring Security is a frame...
spring security 源码解析
stormwyrm的博客
03-30 1791
最近闲暇时间有空来看下spring secrity ，spring secrity 有很多种方式方式，那么我只看了通过数据库获取信息校验，若有什么不妥请及时告知我 spring secrity 第一个入口是一个filter 拦截请求 public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationExcept..
SpringSecurity源码
05-29
SpringSecurity教程配套源码 专栏地址：http://blog.csdn.net/column/details/springsecurity.html
Spring-Security（一）-源码分析及认证流程
lbmydream的博客
06-06 1028
快速了解Spring Security 认证流程
Spring Security源码剖析从入门到精通.跟学尚硅谷
星哲最开心
05-29 1590
Spring Security源码剖析从入门到精通.跟学尚硅谷
Spring Security源码分析
sober_pluto的博客
06-19 952
SpringSecurity源码分析
SpringSecurity源码分析
凉茶铺的博客
07-18 2596
在整个过滤器链中,FilterSecurityInterceptor是来处理整个用户授权流程的,也是距离用户API最后一个非常重要的过滤器链,所以下面我们主要针对用户授权来看下源码是如何实现的?在整个过滤器链中,UsernamePasswordAuthenticationFilter是来处理整个用户认证的流程的,所以下面我们主要针对用户认证来看下源码是如何实现的?在整个过滤器链中,CsrfFilter是起到csrf防护的,所以下面我们主要针对记住我看下源码是如何实现的?...
Spring Security基本源码解析（超精细版）
最新发布
边走、边悟、迟早变好
06-28 760
Spring 是非常流行和成功的 Java 应用开发框架， Spring Security 正是 Spring 家族中的 成员。 Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方 案。
Spring Security源码解析
ThisLX的博客
11-01 421
1、SecurityContextPersistenceFilter: SecurityContextPersistenceFilter有两个主要任务: 在请求到达时处理之前，从SecurityContextRepository中获取安全上下文信息填充到SecurityContextHolder; 在请求处理结束后返回响应时，将SecurityContextHolder中的安全上下文信息保存回S...
spring security 源码
05-28
关于spring security 源码的研究及详细资料的讨论，等一些设计理念。最好的文档是源码
spring-security源码
09-04
基于SpringSecurity4.2.2权限框架搭建教程的详细源码，实现用户登录时，验证其合法性，并通过security访问数据库可以获取到相对应角色和资源信息存储到SecurityContext里面等功能。
springsecurity源码解析
09-15
Spring Security 是一个功能强大且广泛使用的安全框架，用于保护 Java 应用程序的身份验证和授权。...建议在阅读源码之前，先对 Spring Security 的基本概念和使用方法有一定的了解，这样会更有助于理解源码中的内容。
Spring Security源码解析（三）
qq_40577332的博客
06-01 701
Spring Security主流程总结；Spring Security都有哪些默认的过滤器；Spring Security的默认过滤器是如何注入的
Spring Security 源码分析
snkkka163的博客
07-26 410
Spring Security 源码分析 1.Spring Security基本执行流程分析: 现在假设我们要发送一个新的请求给我们的项目，默认我们的项目已经配置了Spring Security 这个请求会先进入 1.UsernamePasswordAuthenticationFilter: 验证我们的请求中是否有这个过滤器所需要的信息，比如说账号密码 如果说带了账号密码，那将会尝试使用这些参数进行登录，如果没有带这个过滤器所需要的参数，那就往下走，进入BasicAuthenticationFilter
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值