淺談SpringSecurity基本原理

Posted on by

一、SpringSecurity 本質

SpringSecurity 本質是一個過濾器鏈；
從啟動是可以獲取到（加載）過濾器鏈，當執行請求時就會執行相應的過濾器：

org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter
org.springframework.security.web.context.SecurityContextPersistenceFilter 
org.springframework.security.web.header.HeaderWriterFilter
org.springframework.security.web.csrf.CsrfFilter
org.springframework.security.web.authentication.logout.LogoutFilter 
org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter 
org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter 
org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter
org.springframework.security.web.savedrequest.RequestCacheAwareFilter
org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter
org.springframework.security.web.authentication.AnonymousAuthenticationFilter 
org.springframework.security.web.session.SessionManagementFilter 
org.springframework.security.web.access.ExceptionTranslationFilter 
org.springframework.security.web.access.intercept.FilterSecurityInterceptor

二、典型過濾器

2.1 FilterSecurityInterceptor

FilterSecurityInterceptor：是一個方法級的權限過濾器, 基本位於過濾鏈的最底部。

1.打開FilterSecurityInterceptor類，發現該類是實現Filter接口，如圖所示：

在這裡插入圖片描述

2.找到doFilter方法，發現最後調用的是invoke方法

在這裡插入圖片描述

3.找到invoke方法
super.beforeInvocation(filterInvocation) 表示查看之前的 filter 是否通過。
filterInvocation.getChain().doFilter(filterInvocation.getRequest(), filterInvocation.getResponse());表示真正的調用後臺的服務。

在這裡插入圖片描述 

2.2 ExceptionTranslationFilter

ExceptionTranslationFilter：是個異常過濾器，用來處理在認證授權過程中拋出的異常

1.點擊繼承方法，發現該類是實現Filter接口，如圖所示：

在這裡插入圖片描述

2.找到核心方法doFilter方法

在這裡插入圖片描述 

2.3 UsernamePasswordAuthenticationFilter

UsernamePasswordAuthenticationFilter ：對/login 的 POST 請求做攔截，校驗表單中用戶名，密碼。

1.找到核心方法attemptAuthentication

在這裡插入圖片描述 

三、過濾器加載過程

1.使用Spring Security首先是需要進行配置，而springboot幫我們做瞭這些事情，自動裝配省瞭配置。
本質是有過濾器進行處理的DelegatingFilterProxy，找到doFilter方法，進入initDelegate方法

在這裡插入圖片描述

2.該方法主要是找到指定的過濾器名（FilterChainProxy）
wac：spring容器中上下文對象。
Filter delegate = wac.getBean(targetBeanName, Filter.class);//獲取Spring容器中beanName=targetBeanName，類型為Filter的bean

在這裡插入圖片描述

3.我能從第二步知道獲得的過濾器名FilterChainProxy，所以我們進入這個類看看
發現無論怎麼處理都會調用doFilterInternal，很好奇

在這裡插入圖片描述

4.我們進入doFilterInternal看看，發現代碼中有個list集合是來裝每個過濾器的

在這裡插入圖片描述

5.getFilters方法把過濾器都加載到過濾鏈中

在這裡插入圖片描述

6.返回DelegatingFilterProxy類中的doFilter方法，調用invokeDelegate，調用代理對象方法，完成攔截

在這裡插入圖片描述

7.invokeDelegate方法中delegate調用代理對象的Filter完成攔截

在這裡插入圖片描述 

四、兩個重要接口

4.1 UserDetailsService接口

當什麼也沒有配置的時候，賬號和密碼是由 Spring Security 定義生成的。而在實際項目中賬號和密碼都是從數據庫中查詢出來的。 所以我們要通過自定義邏輯控制認證邏輯。

  • UserDetailsService接口：查詢數據庫中的用戶名和密碼
  • UsernamePasswordAuthenticationFilter：獲取前臺表單傳過來的用戶名和密碼

在這裡插入圖片描述

返回值 UserDetails，這個類是系統默認的用戶“主體”
UserDetails.java

// 表示獲取登錄用戶所有權限
Collection<? extends GrantedAuthority> getAuthorities();
// 表示獲取密碼
String getPassword();
// 表示獲取用戶名
String getUsername();
// 表示判斷賬戶是否過期
boolean isAccountNonExpired();
// 表示判斷賬戶是否被鎖定
boolean isAccountNonLocked();
// 表示憑證{密碼}是否過期
boolean isCredentialsNonExpired();
// 表示當前用戶是否可用
boolean isEnabled();

UserDetails的實現類，以後我們隻需要使用 User 這個實體類即可！

在這裡插入圖片描述
在這裡插入圖片描述

方法參數 username：表示用戶名。此值是客戶端表單傳遞過來的數據。默認情況下必須叫 username，否則無法接收。

4.2 PasswordEncoder接口

PasswordEncoder接口：用來數據加密
PasswordEncoder.java

// 表示把參數按照特定的解析規則進行解析
String encode(CharSequence rawPassword);
// 表示驗證從存儲中獲取的編碼密碼與編碼後提交的原始密碼是否匹配。如果密碼匹
配，則返回 true；如果不匹配，則返回 false。第一個參數表示需要被解析的密碼。第二個
參數表示存儲的密碼。
boolean matches(CharSequence rawPassword, String encodedPassword);
// 表示如果解析的密碼能夠再次進行解析且達到更安全的結果則返回 true，否則返回
false。默認返回 false。
default boolean upgradeEncoding(String encodedPassword) {
return false; }

PasswordEncoder的實現類：

在這裡插入圖片描述

BCryptPasswordEncoder 是 Spring Security 官方推薦的密碼解析器，平時多使用這個解析器。
BCryptPasswordEncoder 是對 bcrypt 強散列方法的具體實現。是基於 Hash 算法實現的單向加密。可以通過 strength 控制加密強度，默認10.

查用方法演示：

@Test
public void test01(){
	// 創建密碼解析器
	BCryptPasswordEncoder bCryptPasswordEncoder = new 
	BCryptPasswordEncoder();
	// 對密碼進行加密
	String atguigu = bCryptPasswordEncoder.encode("atguigu");
	// 打印加密之後的數據
	System.out.println("加密之後數據：\t"+atguigu);
	//判斷原字符加密後和加密之前是否匹配
	boolean result = bCryptPasswordEncoder.matches("atguigu", atguigu);
	// 打印比較結果
	System.out.println("比較結果：\t"+result);
}

到此這篇關於淺談SpringSecurity基本原理的文章就介紹到這瞭,更多相關SpringSecurity原理內容請搜索WalkonNet以前的文章或繼續瀏覽下面的相關文章希望大傢以後多多支持WalkonNet！

推薦閱讀：