java 登录编程_SpringSecurity 默认表单登录页展示流程源码

本篇主要讲解 SpringSecurity提供的默认表单登录页 它是如何展示的的流程，

涉及

1.FilterSecurityInterceptor，

2.ExceptionTranslationFilter ，

3.DefaultLoginPageGeneratingFilter 过滤器，

并且简单介绍了 AccessDecisionManager 投票机制

1.准备工作(体验SpringSecurity默认表单认证)

1.1 创建SpringSecurity项目

先通过IDEA 创建一个SpringBoot项目 并且依赖SpringSecurity，Web依赖

此时pom.xml会自动添加

1.2 提供一个接口

1.3 启动项目

直接访问 提供的接口

会发现浏览器被直接重定向到了 /login 并且显示如下默认的表单登录页

1.4 登录

在启动项目的时候 控制台会打印一个 seuciryt password ： xxx

Using generated security password: f520875f-ea2b-4b5d-9b0c-f30c0c17b90b

直接登录

用户名：user 密码 ：f520875f-ea2b-4b5d-9b0c-f30c0c17b90b

登录成功并且浏览器又会重定向到刚刚访问的接口

2.springSecurityFilterchain 过滤器链

如果你看过我另一篇关于SpringSecurity初始化源码的博客，那么你一定知道当SpringSecurity项目启动完成后会初始化一个 springSecurityFilterchain 它内部 additionalFilters属性初始化了很多Filter 如下所有的请求都会经过这一系列的过滤器 Spring Security就是通过这些过滤器 来进行认证授权等

3.FilterSecurityInterceptor (它会判断这次请求能否通过)

FilterSecurityInterceptor是过滤器链中最后一个过滤器，主要用于判断请求能否通过，内部通过AccessDecisionManager 进行投票判断

当我们未登录访问

请求会被 FilterSecurityInterceptor 拦截

重点看invoke方法

源码中有这样一句，其实就是判断当前用户是否能够访问指定的接口，可以则执行 fi.getChain().doFilter 调用访问的接口否则 内部会抛出异常

InterceptorStatusToken token = super.beforeInvocation(fi);

beforeInvocation 方法内部是通过 accessDecisionManager 去做决定的Spring Security已经内置了几个基于投票的AccessDecisionManager包括(AffirmativeBased ，ConsensusBased ，UnanimousBased)当然如果需要你也可以实现自己的AccessDecisionManager

使用这种方式，一系列的AccessDecisionVoter将会被AccessDecisionManager用来对Authentication是否有权访问受保护对象进行投票，然后再根据投票结果来决定是否要抛出AccessDeniedException

this.accessDecisionManager.decide(authenticated, object, attributes);

AffirmativeBased的 decide的实现如下

AffirmativeBased的逻辑是这样的：

(1)只要有AccessDecisionVoter的投票为ACCESS_GRANTED则同意用户进行访问；

(2)如果全部弃权也表示通过；

(3)如果没有一个人投赞成票，但是有人投反对票，则将抛出AccessDeniedException。

当我们第一次访问的时候

返回 result = -1 会抛出 AccessDeniedException 拒绝访问异常

4.ExceptionTranslationFilter (捕获AccessDeniedException异常)

该过滤器它会接收到FilterSecurityInterceptor抛出的 AccessDeniedException异常)并且进行捕获，然后发送重定向到/login请求

源码如下：

当获取异常后 调用

handleSpringSecurityException(request, response, chain, ase);

handleSpringSecurityException 源码如下：

先判断获取的异常是否是AccessDeniedException 再判断是否是匿名用户，如果是则调用 sendStartAuthentication 重定向到登录页面

重定向登录页面之前会保存当前访问的路径，这就是为什么我们访问 /hello接口后 再登录成功后又会跳转到 /hello接口，因为在重定向到/login接口前 这里进行了保存 requestCache.saveRequest(request, response);

authenticationEntryPoint.commence(request, response, reason);方法内部

调用LoginUrlAuthenticationEntryPoint 的 commence方法

LoginUrlAuthenticationEntryPoint 的commence方法内部有 构造重定向URL的方法

最终会获取到需要重定向的URL /login

然后sendRedirect既会重定向到/login请求

5.DefaultLoginPageGeneratingFilter (会捕获重定向的/login 请求)

DefaultLoginPageGeneratingFilter是过滤器链中的一个用于捕获/login请求,并且渲染出一个默认表单页面

isLoginUrlRequest 判断请求是否是 loginPageUrl

因为我们没有配置所以默认的loginPageUrl=/login

验证通过请求路径 能匹配 loginPageUrl

generateLoginPageHtml 绘制默认的HTML 页面，到此我们默认的登录页面怎么来的就解释清楚了

至此 SpringSecurity 默认表单登录页展示流程源码部分已经全部讲解完毕，会渲染出下面的页面，但是一定要有网的情况，否则样式可能会变化

6.总结

本篇主要讲解 SpringSecurity提供的默认表单登录页 它是如何展示的的流程，包括涉及这一流程中相关的 3个过滤器1.FilterSecurityInterceptor，2.ExceptionTranslationFilter ，3.DefaultLoginPageGeneratingFilter 过滤器，并且简单介绍了一下 AccessDecisionManager 它主要进行投票来判断该用户是否能够访问相应的 资源AccessDecisionManager 投票机制我也没有深究 后续我会详细深入一下再展开