位置: IT常识 - 正文

Spring Security(七）-- AuthenticationProvider

编辑：rootadmin

Spring Security(七）-- AuthenticationProvider 一、前言

推荐整理分享Spring Security(七）-- AuthenticationProvider，希望有所帮助，仅作参考，欢迎阅读内容。

文章相关热门搜索词:,内容如对您有帮助，希望把文章链接给更多的朋友！

在之前的学习中了解了userDeatailsService和passwordEncoder,在本章我们将介绍身份验证流程的其余部分，首先我们要讨论如何实现AuthenticationProvider接口，在身份验证成功之后，将探讨SpringContext接口以及Spring Security管理它的方式。

Spring Security(七）-- AuthenticationProvider

在企业级应用程序中，你可能会发现自己处于这样一种状况：基于用户名和密码的身份验证的默认实现并不适用。另外，当涉及身份验证时，应用程序可能需要实现多个场景。例如，我们可能希望用户能够通过使用在SMS消息中接收到的或由特定应用程序显示的验证码来证明自己的身份。或者，也可能需要实现某些身份验证场景，其中用户必须提供存储在文件中的某种密钥。我们甚至可能需要某些使用用户指纹的表示来实现身份验证逻辑。框架的目的是要足够灵活，以便允许我们实现这些所需场景中的任何一个。框架通常会提供一组最常用的实现，但它必然不能涵盖所有可能的选项。就SpringSecurity而言，可以使用AuthenticationProvider接口来定义任何自定义的身份验证逻辑。

二、在身份验证期间表示请求

身份验证(Authentication)也是处理过程中涉及的其中一个必要接口的名称。Authentication接口表示身份验证请求事件，并且会保存请求访问应用程序的实体的详细信息。可以在身份验证过程期间和之后使用与身份验证请求事件相关的信息。请求访问应用程序的用户被称为主体(principal),如果你有兴趣可以打印下认证后的authentication对象，你会发现Principal里封装的就是我们的UserDetails，这意味着我们可以对此进行强转化，方便后面的职责分离。如果你曾经使用过java Security API ,就会知道，在Java Security API中，名为Principai的接口表示相同的概念。Spring Security的Authentication接口扩展了这个契约。 Spring Security中的Authentication契约不仅代表了一个主体，还添加了关于身份验证过程是否完成的信息以及权限集合。实际上，这个契约是为了扩展Java Security API的Principal契约而设计的，这在与其他框架和应用程序实现的兼容性方面是一个加分项。Authentication接口代码如下：

public interface Authentication extends Principal, Serializable {Collection<? extends GrantedAuthority> getAuthorities();Object getCredentials();Object getDetails();Object getPrincipal();boolean isAuthenticated();void setAuthenticated(boolean isAuthenticated) throws IllegalArgumentException;}

目前需要了解的几个方法如下：

isAuthenticated():如果身份验证技术，则返回true;如果身份验证过程仍在进行，则返回false.getCredentials():返回身份验证过程中使用的密码或任何密钥。getAuthorities():返回身份验证请求的授权集合。三、实现自定义身份验证逻辑

Spring Security中的AuthenticationProvider负责身份验证逻辑。AuthenticationProvider接口的默认实现会将查找系统用户的职责委托给UserDetailsService。它还使用PasswordEncoder在身份验证过程中进行密码管理。其中AuthenticationProvider接口diamagnetic如下：

public interface AuthenticationProvider {Authentication authenticate(Authentication authentication)throws AuthenticationException;boolean supports(Class<?> authentication);}

AuthenticationProvider的职责是与Authentication接口紧密耦合一起的。authenticate()方法会接收一个Authentication对象作为参数并返回一个Authentication对象，需要实现authenticate()方法来定义身份验证逻辑。可以通过以下3个要点总结如何实现authenticate()方法：

如果身份验证失败，则该方法应该抛出AuthenticationException异常。如果该方法接收到的身份验证对象不被AuthenticationProvider实现所支持，那么该方法应该返回null。该方法应该返回一个Authentication实例，该实例表示一个完全通过了身份验证的对象。对于这个实例，isAuthenticated()方法会返回true,并且它包含关于已验证实体的所有必要细节。通常，应用程序还会从实例中移除密码等敏感数据。因为保留这些数据可能会将它暴露给不希望看到的人。

该接口的另一个方法是supports(Class<?> authentication)。如果当前的AuthenticationProvider支持作为Authentication对象而提供的类型，则可以实现此方法以返回true。注意，即使该方法对一个对象返回true,authenticate()方法仍然有可能通过返回null来拒绝请求。Spring Security这样的设计是较为灵活的，使得我们可以实现一个AuthenticationProvider，它可以根据请求的详细信息来拒绝身份验证请求，而不仅仅是根据请求的类型来判断。