认证流程源码级详解

之前的课程都是实现spring给出的扩展钩子。比如：自定义登录页，自定义登录成功处理等；

但是是很碎片化的，在脑海中链接不起来，只知道该这样做；

本章节讲述源码。

认证处理流程说明
认证结果如何在多个请求之间共享
获取认证用户信息

认证处理流程说明

跟着这个流程和之前配置的地方，去一步一步的看源码；这个很重要！！

AuthenticationManager 管理所有的Provider，并选择适合的进行验证
AuthenticationProvider 验证提供者，可以自己写provider处理自己的业务场景逻辑

认证结果如何在多个请求之间共享

在认证成功的情况下，

    org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter#successfulAuthentication
    
    SecurityContextHolder.getContext().setAuthentication(authResult);
    
    
    SecurityContext 默策略是一个 org.springframework.security.core.context.ThreadLocalSecurityContextHolderStrategy  对象，
    内部使用`ThreadLocal<SecurityContext>`来存储；

上面的源码也就是上图右边部分； SecurityContext会
在同一个线程中可以通过这个context来获取到的。SecurityContextPersistenceFilter来获取；

SecurityContextPersistenceFilter 所在的位置如下图

网络编程模型好复杂啊。发起一个请求，有好几个请求进行，不只是要请的某一个地址。调试也很难调试出来。

获取认证用户信息

UserController中写api;

在前面分析了源码。所以这里可以使用SecurityContextHolder获取到当前的认证用户信息

    @GetMapping("/me")
    public Authentication getCurrentUser() {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        return authentication;
    }
    
    // 这样写 spring 会注入
    @GetMapping("/me")
    public Authentication getCurrentUser(Authentication authentication) {
        return authentication;
    }

输出;

    {
        "authorities": [
            {
                "authority": "admin"
            }
        ],
        "details": {
            "remoteAddress": "0:0:0:0:0:0:0:1",
            "sessionId": "CB434B240B0B1810ED922C9D877F5842"
        },
        "authenticated": true,
        "principal": {
            "password": null,
            "username": "test001",
            "authorities": [
                {
                    "authority": "admin"
                }
            ],
            "accountNonExpired": true,
            "accountNonLocked": true,
            "credentialsNonExpired": true,
            "enabled": true
        },
        "credentials": null,
        "name": "test001"
    }

注意看，password是不会返回来的；
如果上面的信息太多了，也可以使用参数注解@AuthenticationPrincipal UserDetails userDetails 获取User的信息

spring默认的SavedRequestAwareAuthenticationSuccessHandler类很强悍；
在这里测试的时候发现了。由于之前写的访问api会返回json串提示，而不是登录页面；

访问/user/me
被拦截301跳转到自定义处理认证请求/authentication/require
输出了json串
手动输入 imocc-signIn.html 登录页面
登录成功后自定义认证成功处cn.mrcode.imooc.springsecurity.securitybrowser.MyAuthenticationSuccessHandler#onAuthenticationSuccess
根据配置为跳转，再跳转会引发认证跳转的 /user/me

看上面的流程，中间经历了手动输入。但是还能正确的拿到引发认证前的地址。这个是怎么做到的？（在一个请求下会发起好多不相干的获取请求，感觉好难）

这里还有一个问题：是存储在什么地方的呢？上面的过滤器只是会在登录的时候引发，登录认证成功之后，后续还可以拿到信息；稍微跟了下源码，在认证之后再次访问的时候，会有好多过滤器，去拿认证信息。具体是怎么的流程没有看懂

Java 面试宝典是大明哥全力打造的 Java 精品面试题，它是一份靠谱、强大、详细、经典的 Java 后端面试宝典。它不仅仅只是一道道面试题，而是一套完整的 Java 知识体系，一套你 Java 知识点的扫盲贴。

它的内容包括：

大厂真题：Java 面试宝典里面的题目都是最近几年的高频的大厂面试真题。
原创内容：Java 面试宝典内容全部都是大明哥原创，内容全面且通俗易懂，回答部分可以直接作为面试回答内容。
持续更新：一次购买，永久有效。大明哥会持续更新 3+ 年，累计更新 1000+，宝典会不断迭代更新，保证最新、最全面。
覆盖全面：本宝典累计更新 1000+，从 Java 入门到 Java 架构的高频面试题，实现 360° 全覆盖。
不止面试：内容包含面试题解析、内容详解、知识扩展，它不仅仅只是一份面试题，更是一套完整的 Java 知识体系。
宝典详情：https://www.yuque.com/chenssy/sike-java/xvlo920axlp7sf4k
宝典总览：https://www.yuque.com/chenssy/sike-java/yogsehzntzgp4ly1
宝典进展：https://www.yuque.com/chenssy/sike-java/en9ned7loo47z5aw

目前 Java 面试宝典累计更新 400+ 道，总字数 42w+。大明哥还在持续更新中，下图是大明哥在 2024-12 月份的更新情况：

想了解详情的小伙伴，扫描下面二维码加大明哥微信【daming091】咨询

同时，大明哥也整理一套目前市面最常见的热点面试题。微信搜[大明哥聊 Java]或扫描下方二维码关注大明哥的原创公众号[大明哥聊 Java] ，回复【面试题】即可免费领取。

阅读全文

Spring Security OAuth2 教程

【Spring Security OAuth2笔记系列】- spring security - 认证流程源码级详解

认证流程源码级详解

认证处理流程说明

认证结果如何在多个请求之间共享

获取认证用户信息