SpringSecurity认证流程

深碍√TFBOYSˉ_ 2022-10-12 01:39 2阅读 0赞

# 写作目的 #

最近在学习SpringSecurity，中间就遇到了一个问题：我在浏览器中第一次输入localhost:8080/hello，提示我没有登陆，自动跳转到登陆页面，等我登陆成功后，我在输入localhost:8080/hello,就成功访问了，验证第二次的时候，**验证信息是存储在哪呢**？  
跟完源码发现：**存储信息存在session中，然后每次请求都在session中取出并且放在ThreadLocal中。**

# 案例代码 #

[https://gitee.com/cbeann/Demooo/tree/master/springboot-security-demo][https_gitee.com_cbeann_Demooo_tree_master_springboot-security-demo]

# 源码分析 #

## 初始化 ##

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70][]

我们从WebSecurityConfiguration类的加载开始，因为这个类带有@Configuration，从这里出发也说的过去。这个类有一个带有@Autowired的方法，所以在Bean的生命周期的里会执行这个方法，执行这个方法的时候会执行this.webSecurity=xxx ，创建webSecurity。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 1][]

然后创建SpringSecurityFilterChain对象，并且name 等于常量 "springSecurityFilterChain"

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 2][]

其中springSecurityFilterChain的类型是FilterChainProxy，里面有一个类型是DefaultSecurityChain属性filterChains，filterChains里包含11个默认的Filter。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 3][]

## 登陆验证过程 ##

在浏览器中输入[http://localhost:8080/login][http_localhost_8080_login] （这个地址是/login是配置的），跳转到登陆页面；输入正确的用户名（zhangsan）和密码（123456）后，我们看这个请求的执行流程。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 4][]

我们从DelegatingFilterProxy.doFilter()开始，首先获取applicationContext,然后从applicationContext中获取DefalutSecurityFilterChain（包含11个Filter）

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 5][]

把11个Security Filter 和FilterChain 封装成VirtualFilterChain,执行VirtualFilterChain.doFilter()方法![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 6][]

获取SecurityContext对象。session存在并且session.getAttribute("SPRING\_SECURITY\_CONTEXT")!=null,返回SecurityContxt;

否则创建一个新的SecurityContext。

并且把SecurityContext放在SecurityContextHolder(ThreadLocal)中。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 7][]AbstractAuthenticationProcessingFilter.doFilter（）方法里面做了认证，并且有认证成功后的 自定义处理逻辑

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 8][]

认证成功后。把认证成功的信息保存在session中

## ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 9][] ##

## 获取用户信息 ##

@RequestMapping("/hello")
        @ResponseBody
        public String hello(Authentication authentication) {
            System.out.println(authentication.getName());
            return "hello security";
        }
    
        @RequestMapping("/hello2")
        @ResponseBody
        public String hello2(Authentication authentication) {
            String username = SecurityContextHolder.getContext().getAuthentication().getName();
            return "hello security2";
        }

我们可以在controller层获取，也可以在SecurityContextHolder(ThreadLocal)中获取。

为什么可以在 SecurityContextHolder中获取，因为每次请求都会在session中获取认证信息，并且保存在ThreadLocal中。

# 拓展 #

## request.getSession(true/false)的区别 ##

HttpServletRequest.getSession(ture)等同于 HttpServletRequest.getSession()  
HttpServletRequest.getSession(ture)表示如果有session返回，没有创建一个返回  
HttpServletRequest.getSession(false)表示如果有session返回，没有就为null；

## ThreadLocal笔记 ##

[https://blog.csdn.net/qq\_37171353/article/details/116859018][https_blog.csdn.net_qq_37171353_article_details_116859018]

# 参考 #

[https://blog.csdn.net/icarusliu/article/details/78739006][https_blog.csdn.net_icarusliu_article_details_78739006]

[https://blog.csdn.net/u014236541/article/details/49786493][https_blog.csdn.net_u014236541_article_details_49786493]

[https://blog.csdn.net/qq\_37171353/article/details/116859018][https_blog.csdn.net_qq_37171353_article_details_116859018]

[https_gitee.com_cbeann_Demooo_tree_master_springboot-security-demo]: https://gitee.com/cbeann/Demooo/tree/master/springboot-security-demo
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70]: /images/20221005/55d4eaa26c6d4923b7d5f3f7cd2b1ac0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 1]: /images/20221005/e33e1d140edd4001bbf2dcda09d71a46.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 2]: /images/20221005/45310cfc0820473986c2aae0ab8ee66e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 3]: /images/20221005/16fba282087d40ab94d0c140ee1601c8.png
[http_localhost_8080_login]: http://localhost:8080/login
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 4]: /images/20221005/60dd4378ed7a4b96a024dd732570dcaa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 5]: /images/20221005/b83e240b0eba4f2994658881e199d9d4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 6]: /images/20221005/11da045cc9924b7b96f616a03b6806de.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 7]: /images/20221005/979d1cecb02b414d8ad6939087010133.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 8]: /images/20221005/5b6d92d156184188b023721d592e439a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3MTcxMzUz_size_16_color_FFFFFF_t_70 9]: /images/20221005/8e2b6b92bc2c4f71b649599bab9c3f42.png
[https_blog.csdn.net_qq_37171353_article_details_116859018]: https://blog.csdn.net/qq_37171353/article/details/116859018
[https_blog.csdn.net_icarusliu_article_details_78739006]: https://blog.csdn.net/icarusliu/article/details/78739006
[https_blog.csdn.net_u014236541_article_details_49786493]: https://blog.csdn.net/u014236541/article/details/49786493