UsernamePasswordAutheticationFilter源码解读和实践

UsernamePasswordAuthenticationFilter的目录

  • 一、概述(重点)
  • 二、标红小步骤解读
    • 2.1 步骤1(标红1)
      • 2.1.1 AbstractAuthenticationProcessingFilter
      • 2.1.2 UsernamePasswordAuthenticationFilter
    • 2.3 步骤2 和 步骤3(标红2 和 标红3)
      • 2.3.1 解读
      • 2.3.2 总结
    • 2.4 步骤4(标红4)
      • 2.4.1 AbstractUserDetailsAuthenticationProvider
      • 2.4.2 DaoAuthenticationProvider
      • 2.4.3 总结 UserDetailsService & UserCache
  • 三、说完源码,开始做实践
    • 3.1 身份验证后置处理
    • 3.2 前后端分离项目的登录配置
  • 四、总结

如果你对SecurityFilterChain之前的过程存在疑惑,那么可以去研究一下下面两个内容,其实懂不懂下下面两个内容都不会影响你阅读本篇文章。

  • DelegatingFilterProxy
  • FilterProxyChain & SecurityFilterChain

下面会更新上面两个内容,可以关注一下 Spring源码研究导航

一、概述(重点)

第一步,主要对整个UsernamePasswordAutheticationFilter有一个全面的认知,这样读源码才事半功倍。下面会通过小章节对每一个标红的步骤进行解读。

在这里插入图片描述

二、标红小步骤解读

2.1 步骤1(标红1)

AbstractAuthenticationProcessingFilter
«Interface»
ApplicationEventPublisherAware
«Interface»
Aware
«Interface»
BeanNameAware
«Interface»
DisposableBean
«Interface»
EnvironmentAware
«Interface»
EnvironmentCapable
«Interface»
Filter
GenericFilterBean
«Interface»
InitializingBean
«Interface»
MessageSourceAware
«Interface»
ServletContextAware
UsernamePasswordAuthenticationFilter

看一下UsernamePasswordAuthenticationFilter的继承图,还是相当复杂的,不过大多数都跟Spring有关,我们只需要关注AbstractAuthenticationProcessingFilter抽象类和Filter接口就差不多了。

2.1.1 AbstractAuthenticationProcessingFilter

先看AbstractAuthenticationProcessingFilterdoFilter方法,继承了Filter方法之后Servlet会执行doFilter,所以直接看doFiter方法就可以了。

public abstract class AbstractAuthenticationProcessingFilter extends GenericFilterBeanimplements ApplicationEventPublisherAware, MessageSourceAware {...@Overridepublic void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)throws IOException, ServletException {doFilter((HttpServletRequest) request, (HttpServletResponse) response, chain);}// doFilter逻辑主要有三个// 1. 通过attemptAuthentication对用户身份进行验证// 2. 身份验证成功之后执行successfulAuthentication// 3. 身份验证失败执行unsuccessfulAuthenticationprivate void doFilter(HttpServletRequest request, HttpServletResponse response, FilterChain chain)throws IOException, ServletException {// 判断请求是否符合过滤器的要求。// 使用RequestMatcher判断,判断的条件跟URL和请求方法有关。if (!requiresAuthentication(request, response)) {chain.doFilter(request, response);return;}try {// attemptAuthentication是子类UsernamePasswordAuthenticationFilter实现的。// 这个方法跟用户身份验证有关。Authentication authenticationResult = attemptAuthentication(request, response);if (authenticationResult == null) {return;}this.sessionStrategy.onAuthentication(authenticationResult, request, response);if (this.continueChainBeforeSuccessfulAuthentication) {chain.doFilter(request, response);}// 身份验证成功,successfulAuthentication(request, response, chain, authenticationResult);}catch (InternalAuthenticationServiceException failed) {this.logger.error("An internal error occurred while trying to authenticate the user.", failed);unsuccessfulAuthentication(request, response, failed);}catch (AuthenticationException ex) {unsuccessfulAuthentication(request, response, ex);}}...
}

身份验证成功之后的回调。

public class SavedRequestAwareAuthenticationSuccessHandler extends SimpleUrlAuthenticationSuccessHandler {protected final Log logger = LogFactory.getLog(this.getClass());private RequestCache requestCache = new HttpSessionRequestCache();// 负责重定向回原来的页面,下面有详细的解释。protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain,Authentication authResult) throws IOException, ServletException {// 保存认证成功之后的用户信息SecurityContext context = SecurityContextHolder.createEmptyContext();context.setAuthentication(authResult);SecurityContextHolder.setContext(context);this.securityContextRepository.saveContext(context, request, response);if (this.logger.isDebugEnabled()) {this.logger.debug(LogMessage.format("Set SecurityContextHolder to %s", authResult));}// 这个母鸡this.rememberMeServices.loginSuccess(request, response, authResult);if (this.eventPublisher != null) {this.eventPublisher.publishEvent(new InteractiveAuthenticationSuccessEvent(authResult, this.getClass()));}// 重定向到原始的访问地址,就比如:// 你访问localhost:8080/user,由于你没有认证,所以后端会让浏览器重定向到身份认证的页面http://localhost:8080/login// 你在http://localhost:8080/login网址通过了认证之后,后端会让浏览器重定向回localhost:8080/userthis.successHandler.onAuthenticationSuccess(request, response, authResult);}public void setRequestCache(RequestCache requestCache) {this.requestCache = requestCache;}}

身份验证失败之后的回调。

public class SimpleUrlAuthenticationFailureHandler implements AuthenticationFailureHandler {...// 失败处理也分三个部分// 1. 如果没有指定失败的重定向链接,那么直接调用response.sendError// 2. 如果指定了defaultFailureUrl,forwardToDestination=true,那么就把请求转发给defaultFailureUrl,这个是内部转发,共享request。// 3. 最后就是重定向了,重定向到defaultFailureUrl。@Overridepublic void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response,AuthenticationException exception) throws IOException, ServletException {if (this.defaultFailureUrl == null) {if (this.logger.isTraceEnabled()) {this.logger.trace("Sending 401 Unauthorized error since no failure URL is set");} else {this.logger.debug("Sending 401 Unauthorized error");}response.sendError(HttpStatus.UNAUTHORIZED.value(), HttpStatus.UNAUTHORIZED.getReasonPhrase());return;}saveException(request, exception);if (this.forwardToDestination) {this.logger.debug("Forwarding to " + this.defaultFailureUrl);request.getRequestDispatcher(this.defaultFailureUrl).forward(request, response);}else {this.redirectStrategy.sendRedirect(request, response, this.defaultFailureUrl);}}...
}

2.1.2 UsernamePasswordAuthenticationFilter

这个类主要看attemptAuthentication方法。

public class UsernamePasswordAuthenticationFilter extends AbstractAuthenticationProcessingFilter {...@Overridepublic Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {if (this.postOnly && !request.getMethod().equals("POST")) {throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());}String username = obtainUsername(request);username = (username != null) ? username.trim() : "";String password = obtainPassword(request);password = (password != null) ? password : "";UsernamePasswordAuthenticationToken authRequest = UsernamePasswordAuthenticationToken.unauthenticated(username, password);setDetails(request, authRequest);// 这里就是要进入到我们红色圆圈2了。return this.getAuthenticationManager().authenticate(authRequest);}...
}

2.3 步骤2 和 步骤3(标红2 和 标红3)

2.3.1 解读

通过上面的分析,可以从UsernamePasswordAuthenticationFilter的return this.getAuthenticationManager().authenticate(authRequest)代码得知,UsernamePasswordAuthenticationFilter会把身份认证的任务抛给AuthenticationManager。接下来我们对AuthenticationManager进行分析,从下图得知ProviderManager实现了AuthenticationManager接口,这里主要是理解ProviderManager实现类

«Interface»
AuthenticationManager
«Interface»
Aware
«Interface»
InitializingBean
«Interface»
MessageSourceAware
ProviderManager

下面主要看一下ProviderManager的核心属性(providers、parent)和核心方法authenticate

public class ProviderManager implements AuthenticationManager, MessageSourceAware, InitializingBean {// 两个核心属性private List<AuthenticationProvider> providers = Collections.emptyList();private AuthenticationManager parent;// 方法主要有两个核心的方法// 1. 首先从认证提供器(AuthenticationProvider)里边做身份验证// 2. 如果认证提供器认证失败,那就继续给上一级的认证管理器(AuthenticationManager)做认证@Overridepublic Authentication authenticate(Authentication authentication) throws AuthenticationException {Class<? extends Authentication> toTest = authentication.getClass();AuthenticationException lastException = null;AuthenticationException parentException = null;Authentication result = null;Authentication parentResult = null;int currentPosition = 0;int size = this.providers.size();// 先遍历所有的AuthenticationProvider,通过他们去做身份验证。for (AuthenticationProvider provider : getProviders()) {if (!provider.supports(toTest)) {continue;}if (logger.isTraceEnabled()) {logger.trace(LogMessage.format("Authenticating request with %s (%d/%d)",provider.getClass().getSimpleName(), ++currentPosition, size));}try {result = provider.authenticate(authentication);if (result != null) {copyDetails(authentication, result);break;}}catch (AccountStatusException | InternalAuthenticationServiceException ex) {prepareException(ex, authentication);// SEC-546: Avoid polling additional providers if auth failure is due to// invalid account statusthrow ex;}catch (AuthenticationException ex) {lastException = ex;}}// 如果所有的AuthenticationProvider的身份验证都失败了,那么去找ProviderManager父级。if (result == null && this.parent != null) {try {parentResult = this.parent.authenticate(authentication);result = parentResult;}catch (ProviderNotFoundException ex) {// ignore as we will throw below if no other exception occurred prior to// calling parent and the parent// may throw ProviderNotFound even though a provider in the child already// handled the request}catch (AuthenticationException ex) {parentException = ex;lastException = ex;}}if (result != null) {if (this.eraseCredentialsAfterAuthentication && (result instanceof CredentialsContainer)) {((CredentialsContainer) result).eraseCredentials();}if (parentResult == null) {this.eventPublisher.publishAuthenticationSuccess(result);}return result;}if (lastException == null) {lastException = new ProviderNotFoundException(this.messages.getMessage("ProviderManager.providerNotFound",new Object[] { toTest.getName() }, "No AuthenticationProvider found for {0}"));}if (parentException == null) {prepareException(lastException, authentication);}throw lastException;}}

2.3.2 总结

ProviderManagerauthenticate方法中可以总结出下图的结构,虽然有点抽象。主要表达的意思是,ProviderManager内部维护了一堆AuthenticationProvider和父级AuthenticationManagerauthenticate的逻辑是先把认证交给一堆AuthenticationProvider做认证,AuthenticationProvider认证失败了才交给父级。

在这里插入图片描述

2.4 步骤4(标红4)

上面# 三、步骤2 和 步骤3(标红2 和 标红3) 对AuthenticationProvider做了一个介绍,最终的身份认证会交给它,现在我们对它做详细的介绍。AuthenticationProvider有超级多的实现类,我们只需要关注AbstractUserDetailsAuthenticationProvider抽象类,以及抽象类的实现类DaoAuthenticationProvider

AbstractJaasAuthenticationProvider
AbstractUserDetailsAuthenticationProvider
AnonymousAuthenticationProvider
«Interface»
AuthenticationProvider
DaoAuthenticationProvider
DefaultJaasAuthenticationProvider
JaasAuthenticationProvider
PreAuthenticatedAuthenticationProvider
RememberMeAuthenticationProvider
RemoteAuthenticationProvider
RunAsImplAuthenticationProvider
TestingAuthenticationProvider

2.4.1 AbstractUserDetailsAuthenticationProvider

因为AbstractUserDetailsAuthenticationProvider实现了AuthenticationProvider接口,所以我们直接挑authenticate来看。
下面方法主要看两个方法

  1. 查缓存,如果缓存有用户,就直接返回了。可以发现默认实现是NullUserCache,啥也不做。
  2. 做身份验证的retrieveUser方法,这是一个抽象方法,所有我们要看子类DaoAuthentiationProvider。
public abstract class AbstractUserDetailsAuthenticationProviderimplements AuthenticationProvider, InitializingBean, MessageSourceAware {private UserCache userCache = new NullUserCache();@Overridepublic Authentication authenticate(Authentication authentication) throws AuthenticationException {Assert.isInstanceOf(UsernamePasswordAuthenticationToken.class, authentication, () -> this.messages.getMessage("AbstractUserDetailsAuthenticationProvider.onlySupports", "Only UsernamePasswordAuthenticationToken is supported"));String username = determineUsername(authentication);boolean cacheWasUsed = true;// 查缓存,这里也可以进行扩展,我们可以把缓存实现成RedisUserDetails user = this.userCache.getUserFromCache(username);if (user == null) {cacheWasUsed = false;try {// 调用抽象方法user = retrieveUser(username, (UsernamePasswordAuthenticationToken) authentication);}catch (UsernameNotFoundException ex) {this.logger.debug("Failed to find user '" + username + "'");if (!this.hideUserNotFoundExceptions) {throw ex;}throw new BadCredentialsException(this.messages .getMessage("AbstractUserDetailsAuthenticationProvider.badCredentials", "Bad credentials"));}Assert.notNull(user, "retrieveUser returned null - a violation of the interface contract");}try {this.preAuthenticationChecks.check(user);additionalAuthenticationChecks(user, (UsernamePasswordAuthenticationToken) authentication);}catch (AuthenticationException ex) {if (!cacheWasUsed) {throw ex;}// There was a problem, so try again after checking// we're using latest data (i.e. not from the cache)cacheWasUsed = false;user = retrieveUser(username, (UsernamePasswordAuthenticationToken) authentication);this.preAuthenticationChecks.check(user);additionalAuthenticationChecks(user, (UsernamePasswordAuthenticationToken) authentication);}this.postAuthenticationChecks.check(user);if (!cacheWasUsed) {this.userCache.putUserInCache(user);}Object principalToReturn = user;if (this.forcePrincipalAsString) {principalToReturn = user.getUsername();}return createSuccessAuthentication(principalToReturn, authentication, user);}protected abstract UserDetails retrieveUser(String username, UsernamePasswordAuthenticationToken authentication) throws AuthenticationException;
}

2.4.2 DaoAuthenticationProvider

public abstract class AbstractUserDetailsAuthenticationProvider implements AuthenticationProvider, InitializingBean, MessageSourceAware {@Overrideprotected final UserDetails retrieveUser(String username, UsernamePasswordAuthenticationToken authentication) throws AuthenticationException {prepareTimingAttackProtection();try {// 这里就是我们自己扩展的地方了,调用UserDetailsService.loadUserByUsernameUserDetails loadedUser = this.getUserDetailsService().loadUserByUsername(username);if (loadedUser == null) {throw new InternalAuthenticationServiceException("UserDetailsService returned null, which is an interface contract violation");}return loadedUser;}catch (UsernameNotFoundException ex) {mitigateAgainstTimingAttack(authentication);throw ex;}catch (InternalAuthenticationServiceException ex) {throw ex;}catch (Exception ex) {throw new InternalAuthenticationServiceException(ex.getMessage(), ex);}}
}

2.4.3 总结 UserDetailsService & UserCache

上面的AbstractUserDetailsAuthenticationProvider的authenticate方法逻辑是先查缓存(UserCache),再交给UserDetailsService。那如何自定义自己的UserDetailsService和UserCache呢?在下个大章节说。

三、说完源码,开始做实践

3.1 身份验证后置处理

主要是failureHandler.setUseForward(true),如果设置为false就重定向,如果设置为true就是内部转发。

@EnableWebSecurity
public class SpringSecurityConfig {@Autowiredpublic void configure(AuthenticationManagerBuilder builder) throws Exception {builder.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder()).withUser(User.withUsername("admin").password(new BCryptPasswordEncoder().encode("123")).roles("admin"));}@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {http.formLogin().failureHandler(buildAuthenticationFailureHandler()).successHandler(buildSimpleUrlAuthenticationSuccessHandler());return http.build();}// 失败后置处理SimpleUrlAuthenticationFailureHandler buildAuthenticationFailureHandler() {SimpleUrlAuthenticationFailureHandler failureHandler = new SimpleUrlAuthenticationFailureHandler();failureHandler.setUseForward(true);failureHandler.setDefaultFailureUrl("/other/login/fail");return failureHandler;}
}@RestController
@RequestMapping("/other")
public class UserController {@PostMapping("/login/fail")public AjaxResult fail() {return AjaxResult.failure("账号或密码错误!");}@PostMapping("/login/success")public AjaxResult success() {Authentication authentication = SecurityContextHolder.getContext().getAuthentication();return AjaxResult.success("登录成功!", authentication.getPrincipal());}
}

登录失败的效果

在这里插入图片描述登录成功的效果
在这里插入图片描述

3.2 前后端分离项目的登录配置

这个配置加上了登录的后置处理,重点在移除了自带的登录页面,设置了登录url,有的同学很懵逼,我解释一下,设置了登录url之后UsernamePasswordAuthenticationFilter会拦截/user/login做登录处理,然后就是走我们# 一、概述(重点)那个图的整个过程了

@EnableWebSecurity
public class SpringSecurityConfig {@Autowiredpublic void configure(AuthenticationManagerBuilder builder) throws Exception {builder.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder()).withUser(User.withUsername("admin").password(new BCryptPasswordEncoder().encode("123")).roles("admin"));}@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {// 关闭自带的登录页面http.getConfigurer(DefaultLoginPageConfigurer.class).disable();http.formLogin().failureHandler(buildAuthenticationFailureHandler()).successHandler(buildSimpleUrlAuthenticationSuccessHandler())// 设置登录url.loginProcessingUrl("/user/login").and().csrf().disable();return http.build();}// 登录失败处理器SimpleUrlAuthenticationFailureHandler buildAuthenticationFailureHandler() {SimpleUrlAuthenticationFailureHandler failureHandler = new SimpleUrlAuthenticationFailureHandler();failureHandler.setUseForward(true);failureHandler.setDefaultFailureUrl("/other/login/fail");return failureHandler;}// 登录成功处理器,内部转发AuthenticationSuccessHandler buildSimpleUrlAuthenticationSuccessHandler() {return ((request, response, authentication) -> request.getRequestDispatcher("/other/login/success").forward(request, response));}
}@RestController
@RequestMapping("/other")
public class UserController {@PostMapping("/login/fail")public AjaxResult fail() {return AjaxResult.failure("账号或密码错误!");}@PostMapping("/login/success")public AjaxResult success() {Authentication authentication = SecurityContextHolder.getContext().getAuthentication();return AjaxResult.success("登录成功!", authentication.getPrincipal());}
}

登录成功结果

在这里插入图片描述

登录失败结果

在这里插入图片描述

四、总结

目前场景比较少,各位有遇到的场景可以留言评论,我给出代码。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.hqwc.cn/news/458288.html

如若内容造成侵权/违法违规/事实不符,请联系编程知识网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

【Linux系统 02】Shell脚本

目录 一、Shell概述 二、输入输出 三、分支控制 1. 表达式 2. if 分支 3. case 分支 四、循环控制 1. for 循环 2. while 循环 3. select 循环 五、函数 一、Shell概述 Shell是Linux系统连接用户和操作系统的外壳程序&#xff0c;将用户的输入和请求选择性传递给操…

13 冒泡排序和快速排序

目录 冒泡排序 1.1 基本思想 1.2 特性快速排序 2.1 基本思想  2.1.1 hoare版  2.1.2 挖坑版  2.1.3 前后下标版  2.1.4 循环 2.2 特性 2.3 优化  2.3.1 key值优化 1. 冒泡排序 1.1 基本思想 数据中相邻的两数不断比较&#xff0c;找出最大的数进行交换&#xff0c;不断…

《合成孔径雷达成像算法与实现》Figure6.9

clc clear close all参数设置 距离向参数设置 R_eta_c 20e3; % 景中心斜距 Tr 2.5e-6; % 发射脉冲时宽 Kr 20e12; % 距离向调频率 alpha_os_r 1.2; % 距离过采样率 Nrg 320; % 距离线采样数 距离向…

不到1s生成mesh! 高效文生3D框架AToM

论文题目&#xff1a; AToM: Amortized Text-to-Mesh using 2D Diffusion 论文链接&#xff1a; https://arxiv.org/abs/2402.00867 项目主页&#xff1a; AToM: Amortized Text-to-Mesh using 2D Diffusion 随着AIGC的爆火&#xff0c;生成式人工智能在3D领域也实现了非常显著…

【多模态大模型】BLIP-2:低计算视觉-语言预训练大模型

BLIP-2 BLIP 对比 BLIP-2BLIPBLIP-2如何在视觉和语言模型之间实现有效的信息交互&#xff0c;同时降低预训练的计算成本&#xff1f;视觉语言表示学习视觉到语言的生成学习模型架构设计 总结主要问题: 如何在计算效率和资源有限的情况下&#xff0c;有效地结合冻结的图像编码器…

【C++】类和对象(3)

继续学习类和对象的最后一部分知识&#xff0c;主要有初始化列表、static成员、友元、内部类、匿名对象等。 目录 再谈构造函数 构造函数体赋值 初始化列表 explicit关键字 static成员 概念 特性 友元 友元函数 友元类 内部类 匿名对象 拷贝对象时的一些编译器优化…

Windows 10 配置 FFmpeg 使用环境

Windows 10 配置 FFmpeg 使用环境 1.下载FFmpeg 的windows办2. 配置环境变量:3.查看是否配置正确 cmd 或者 PowerShell 执行以下命令 1.下载FFmpeg 的windows办 GitHub 地址 :https://github.com/BtbN/FFmpeg-Builds/releases 解压后得到如图: 2. 配置环境变量: 复制路径:…

面试官都爱看的作品集,你做对了吗?

经常有朋友在群里问作品集的相关问题:设计师不知道从哪里开始作品集&#xff0c;觉得自己拿不到作品&#xff0c;作品集没有亮点&#xff0c;真的不知道怎么改进&#xff0c;作品集投递后没有回应&#xff0c;很受打击。 针对这些问题&#xff0c;我们将向您展示如何调整和改进…

谷歌支付3.5亿美元就多年前的数据泄露达成和解

据The Record网站消息&#xff0c;谷歌将支付 3.5 亿美元来和解一场旷日持久的集体诉讼&#xff0c;该诉讼针对的是其已不复存在的社交平台Google Plus产生的数据泄露事故。 这一诉讼最早可以追溯到 2018 年 10 月&#xff0c;当时《华尔街日报》曾报道称&#xff0c;谷歌发现G…

使用CICFlowMeter 实现对pcap文件的特征提取【教程】

使用CICFlowMeter 实现对pcap文件的特征提取【教程】 针对现有的关于CICFlowMeter 的使用教程不够全面&#xff0c;一些细节没有展示&#xff0c;我将结合网络上的相关资料和实际的经历&#xff0c;提供一些经验和建议。 configuration information --------------- Windows…

web 前端实现一个根据域名的判断 来显示不同的logo 和不同的标题

1.需求 有可能我做一个后台 web端 我想实现一套代码的逻辑 显示不同的公司主题logo以及内容&#xff0c;但是实际上 业务逻辑一样 2.实现 建一个store oem.ts 这个名为是 oem系统 oem.ts import { defineStore } from pinia;import { store } from /store;const oemDataLis…

改进神经网络

Improve NN 文章目录 Improve NNtrain/dev/test setBias/Variancebasic recipeRegularizationLogistic RegressionNeural networkother ways optimization problemNormalizing inputsvanishing/exploding gradientsweight initializegradient checkNumerical approximationgrad…