Spring Security 认证流程
1.username和password被获得后封装到一个UsernamePasswordAuthenticationToken（Authentication接口的实例）的实例中
2.这个token被传递给AuthenticationManager进行验证
3.成功认证后AuthenticationManager将返回一个得到完整填充的Authentication实例
4.通过调用SecurityContextHolder.getContext().setAuthentication(...)，参数传递authentication对象，来建立安全上下文（security context） SecurityContextHolder是对于ThreadLocal的封装, 即SecurityContext只在当前线程上下文有效
5.一次登陆后,如何保证后续会话权限有效:
一个安全上下文在某个请求1处理过程中被创建并记录到SecurityContextHolder；
请求1的处理结束时，SecurityContextPersistenceFilter会将SecurityContextHolder中的安全上下文保存到HttpSession;
后续该用户会话中的另外一个请求2处理过程开始时，SecurityContextPersistenceFilter会将安全上下文从HttpSession恢复到SecurityContextHolder;
请求2处理过程结束时，SecurityContextPersistenceFilter会将SecurityContextHolder中的安全上下文保存到HttpSession;
后续其他请求的处理过程会重复和上面请求2处理过程中一样的使用SecurityContextPersistenceFilter重置/恢复SecurityContext的动作
SecurityContextPersistenceFilter也是一个过滤器，它处于整个Security过滤器链的最前方，也就是说开始验证的时候是最先通过该过滤器，验证完成之后是最后通过
https://blog.csdn.net/u013435893/article/details/79605239
SpringSecurity主要是通过一系列的Filter对请求进行拦截处理。
认证处理流程说明
我们直接来看UsernamePasswordAuthenticationFilter类，
public class UsernamePasswordAuthenticationFilter extends AbstractAuthenticationProcessingFilter
// 登录请求认证
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
// 判断是否是POST请求
if (this.postOnly && !request.getMethod().equals("POST")) {
throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());
} else {
// 获取用户，密码
String username = this.obtainUsername(request);
String password = this.obtainPassword(request);
if (username == null) {
username = "";
}
if (password == null) {
password = "";
}
username = username.trim();
// 生成Token，
UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(username, password);
this.setDetails(request, authRequest);
// 进一步验证
return this.getAuthenticationManager().authenticate(authRequest);
}
}
}
在attemptAuthentication方法中，主要是进行username和password请求值的获取，然后再生成一个UsernamePasswordAuthenticationToken 对象，进行进一步的验证。
不过我们可以先看看UsernamePasswordAuthenticationToken 的构造方法
public UsernamePasswordAuthenticationToken(Object principal, Object credentials) {
// 设置空的权限
super((Collection)null);
this.principal = principal;
this.credentials = credentials;
// 设置是否通过了校验
this.setAuthenticated(false);
}
其实UsernamePasswordAuthenticationToken是继承于Authentication，该对象在上一篇文章中有提到过，它是处理登录成功回调方法中的一个参数，里面包含了用户信息、请求信息等参数。
所以接下来我们看
this.getAuthenticationManager().authenticate(authRequest);
这里有一个AuthenticationManager，但是真正调用的是ProviderManager。
public class ProviderManager implements AuthenticationManager, MessageSourceAware, InitializingBean {
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
Class<? extends Authentication> toTest = authentication.getClass();
AuthenticationException lastException = null;
Authentication result = null;
boolean debug = logger.isDebugEnabled();
Iterator var6 = this.getProviders().iterator();
while(var6.hasNext()) {
AuthenticationProvider provider = (AuthenticationProvider)var6.next();
// 1.判断是否有provider支持该Authentication
if (provider.supports(toTest)) {
// 2. 真正的逻辑判断
result = provider.authenticate(authentication);
}
}
}
这里首先通过provider判断是否支持当前传入进来的Authentication，目前我们使用的是UsernamePasswordAuthenticationToken，因为除了帐号密码登录的方式，还会有其他的方式，比如SocialAuthenticationToken。
根据我们目前所使用的UsernamePasswordAuthenticationToken，provider对应的是DaoAuthenticationProvider。
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
UserDetails user = this.userCache.getUserFromCache(username);
if (user == null) {
cacheWasUsed = false;
// 1.去获取UserDetails
user = this.retrieveUser(username, (UsernamePasswordAuthenticationToken)authentication);
}
try {
// 2.用户信息预检查
this.preAuthenticationChecks.check(user);
// 3.附加的检查（密码检查）
this.additionalAuthenticationChecks(user, (UsernamePasswordAuthenticationToken)authentication);
} catch (AuthenticationException var7) {
}
// 4.最后的检查
this.postAuthenticationChecks.check(user);
// 5.返回真正的经过认证的Authentication
return this.createSuccessAuthentication(principalToReturn, authentication, user);
}
去调用自己实现的UserDetailsService，返回UserDetails
对UserDetails的信息进行校验，主要是帐号是否被冻结，是否过期等
对密码进行检查，这里调用了PasswordEncoder
检查UserDetails是否可用。
返回经过认证的Authentication
这里的两次对UserDetails的检查，主要就是通过它的四个返回boolean类型的方法。
经过信息的校验之后，通过UsernamePasswordAuthenticationToken的构造方法，返回了一个经过认证的Authentication。
拿到经过认证的Authentication之后，会再去调用successHandler。或者未通过认证，去调用failureHandler。
认证结果如何在多个请求之间共享
再完成了用户认证处理流程之后，我们思考一下是如何在多个请求之间共享这个认证结果的呢？
因为没有做关于这方面的配置，所以可以联想到默认的方式应该是在session中存入了认证结果。
那么是什么时候存放入session中的呢？
我们可以接着认证流程的源码往后看，在通过attemptAuthentication方法后，如果认证成功，会调用successfulAuthentication，该方法中，不仅调用了successHandler，还有一行比较重要的代码
SecurityContextHolder.getContext().setAuthentication(authResult);
SecurityContextHolder是对于ThreadLocal的封装。 ThreadLocal是一个线程内部的数据存储类，通过它可以在指定的线程中存储数据，数据存储以后，只有在指定线程中可以获取到存储的数据，对于其他线程来说则无法获取到数据。 更多的关于ThreadLocal的原理可以看看我以前的文章。
一般来说同一个接口的请求和返回，都会是在一个线程中完成的。我们在SecurityContextHolder中放入了authResult，再其他地方也可以取出来的。
最后就是在SecurityContextPersistenceFilter中取出了authResult，并存入了session
SecurityContextPersistenceFilter也是一个过滤器，它处于整个Security过滤器链的最前方，也就是说开始验证的时候是最先通过该过滤器，验证完成之后是最后通过。获取认证用户信息
/**
* 获取当前登录的用户
* @return 完整的Authentication
*/
@GetMapping("/me1")
public Object currentUser() {
return SecurityContextHolder.getContext().getAuthentication();
}
@GetMapping("/me2")
public Object currentUser(Authentication authentication) {
return authentication;
}
/**
* @param userDetails
* @return 只包含了userDetails
*/
@GetMapping("/me3")
public Object cuurentUser(@AuthenticationPrincipal UserDetails userDetails) {
return userDetails;
}
