一、SpringSecurity 本質(zhì)

SpringSecurity 本質(zhì)是一個(gè)過(guò)濾器鏈；
從啟動(dòng)是可以獲取到（加載）過(guò)濾器鏈，當(dāng)執(zhí)行請(qǐng)求時(shí)就會(huì)執(zhí)行相應(yīng)的過(guò)濾器：

org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter
org.springframework.security.web.context.SecurityContextPersistenceFilter 
org.springframework.security.web.header.HeaderWriterFilter
org.springframework.security.web.csrf.CsrfFilter
org.springframework.security.web.authentication.logout.LogoutFilter 
org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter 
org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter 
org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter
org.springframework.security.web.savedrequest.RequestCacheAwareFilter
org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter
org.springframework.security.web.authentication.AnonymousAuthenticationFilter 
org.springframework.security.web.session.SessionManagementFilter 
org.springframework.security.web.access.ExceptionTranslationFilter 
org.springframework.security.web.access.intercept.FilterSecurityInterceptor

二、典型過(guò)濾器

2.1 FilterSecurityInterceptor

FilterSecurityInterceptor：是一個(gè)方法級(jí)的權(quán)限過(guò)濾器, 基本位于過(guò)濾鏈的最底部。

1.打開(kāi)FilterSecurityInterceptor類(lèi)，發(fā)現(xiàn)該類(lèi)是實(shí)現(xiàn)Filter接口，如圖所示：

2.找到doFilter方法，發(fā)現(xiàn)最后調(diào)用的是invoke方法

3.找到invoke方法
super.beforeInvocation(filterInvocation) 表示查看之前的 filter 是否通過(guò)。
filterInvocation.getChain().doFilter(filterInvocation.getRequest(), filterInvocation.getResponse());表示真正的調(diào)用后臺(tái)的服務(wù)。

2.2 ExceptionTranslationFilter

ExceptionTranslationFilter：是個(gè)異常過(guò)濾器，用來(lái)處理在認(rèn)證授權(quán)過(guò)程中拋出的異常

1.點(diǎn)擊繼承方法，發(fā)現(xiàn)該類(lèi)是實(shí)現(xiàn)Filter接口，如圖所示：

2.找到核心方法doFilter方法

2.3 UsernamePasswordAuthenticationFilter

UsernamePasswordAuthenticationFilter ：對(duì)/login 的 POST 請(qǐng)求做攔截，校驗(yàn)表單中用戶(hù)名，密碼。

1.找到核心方法attemptAuthentication

三、過(guò)濾器加載過(guò)程

1.使用Spring Security首先是需要進(jìn)行配置，而springboot幫我們做了這些事情，自動(dòng)裝配省了配置。
本質(zhì)是有過(guò)濾器進(jìn)行處理的DelegatingFilterProxy，找到doFilter方法，進(jìn)入initDelegate方法

2.該方法主要是找到指定的過(guò)濾器名（FilterChainProxy）
wac：spring容器中上下文對(duì)象。
Filter delegate = wac.getBean(targetBeanName, Filter.class);//獲取Spring容器中beanName=targetBeanName，類(lèi)型為Filter的bean

3.我能從第二步知道獲得的過(guò)濾器名FilterChainProxy，所以我們進(jìn)入這個(gè)類(lèi)看看
發(fā)現(xiàn)無(wú)論怎么處理都會(huì)調(diào)用doFilterInternal，很好奇

4.我們進(jìn)入doFilterInternal看看，發(fā)現(xiàn)代碼中有個(gè)list集合是來(lái)裝每個(gè)過(guò)濾器的

5.getFilters方法把過(guò)濾器都加載到過(guò)濾鏈中

6.返回DelegatingFilterProxy類(lèi)中的doFilter方法，調(diào)用invokeDelegate，調(diào)用代理對(duì)象方法，完成攔截

7.invokeDelegate方法中delegate調(diào)用代理對(duì)象的Filter完成攔截

四、兩個(gè)重要接口

4.1 UserDetailsService接口

當(dāng)什么也沒(méi)有配置的時(shí)候，賬號(hào)和密碼是由 Spring Security 定義生成的。而在實(shí)際項(xiàng)目中賬號(hào)和密碼都是從數(shù)據(jù)庫(kù)中查詢(xún)出來(lái)的。 所以我們要通過(guò)自定義邏輯控制認(rèn)證邏輯。

• UserDetailsService接口：查詢(xún)數(shù)據(jù)庫(kù)中的用戶(hù)名和密碼
• UsernamePasswordAuthenticationFilter：獲取前臺(tái)表單傳過(guò)來(lái)的用戶(hù)名和密碼

返回值 UserDetails，這個(gè)類(lèi)是系統(tǒng)默認(rèn)的用戶(hù)“主體”
UserDetails.java

// 表示獲取登錄用戶(hù)所有權(quán)限
Collection<? extends GrantedAuthority> getAuthorities();
// 表示獲取密碼
String getPassword();
// 表示獲取用戶(hù)名
String getUsername();
// 表示判斷賬戶(hù)是否過(guò)期
boolean isAccountNonExpired();
// 表示判斷賬戶(hù)是否被鎖定
boolean isAccountNonLocked();
// 表示憑證{密碼}是否過(guò)期
boolean isCredentialsNonExpired();
// 表示當(dāng)前用戶(hù)是否可用
boolean isEnabled();

UserDetails的實(shí)現(xiàn)類(lèi)，以后我們只需要使用 User 這個(gè)實(shí)體類(lèi)即可！

方法參數(shù) username：表示用戶(hù)名。此值是客戶(hù)端表單傳遞過(guò)來(lái)的數(shù)據(jù)。默認(rèn)情況下必須叫 username，否則無(wú)法接收。

4.2 PasswordEncoder接口

PasswordEncoder接口：用來(lái)數(shù)據(jù)加密
PasswordEncoder.java

// 表示把參數(shù)按照特定的解析規(guī)則進(jìn)行解析
String encode(CharSequence rawPassword);
// 表示驗(yàn)證從存儲(chǔ)中獲取的編碼密碼與編碼后提交的原始密碼是否匹配。如果密碼匹
配，則返回 true；如果不匹配，則返回 false。第一個(gè)參數(shù)表示需要被解析的密碼。第二個(gè)
參數(shù)表示存儲(chǔ)的密碼。
boolean matches(CharSequence rawPassword, String encodedPassword);
// 表示如果解析的密碼能夠再次進(jìn)行解析且達(dá)到更安全的結(jié)果則返回 true，否則返回
false。默認(rèn)返回 false。
default boolean upgradeEncoding(String encodedPassword) {
return false; }

PasswordEncoder的實(shí)現(xiàn)類(lèi)：

BCryptPasswordEncoder 是 Spring Security 官方推薦的密碼解析器，平時(shí)多使用這個(gè)解析器。
BCryptPasswordEncoder 是對(duì) bcrypt 強(qiáng)散列方法的具體實(shí)現(xiàn)。是基于 Hash 算法實(shí)現(xiàn)的單向加密?？梢酝ㄟ^(guò) strength 控制加密強(qiáng)度，默認(rèn)10.

查用方法演示：

@Test
public void test01(){
	// 創(chuàng)建密碼解析器
	BCryptPasswordEncoder bCryptPasswordEncoder = new 
	BCryptPasswordEncoder();
	// 對(duì)密碼進(jìn)行加密
	String atguigu = bCryptPasswordEncoder.encode("atguigu");
	// 打印加密之后的數(shù)據(jù)
	System.out.println("加密之后數(shù)據(jù)：\t"+atguigu);
	//判斷原字符加密后和加密之前是否匹配
	boolean result = bCryptPasswordEncoder.matches("atguigu", atguigu);
	// 打印比較結(jié)果
	System.out.println("比較結(jié)果：\t"+result);
}

到此這篇關(guān)于淺談SpringSecurity基本原理的文章就介紹到這了,更多相關(guān)SpringSecurity原理內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評(píng)論