SpringSecurity权限框架学习总结

1、 Spring Security图解,总的来说就是一堆的过滤器。
SpringSecurity权限框架学习总结_第1张图片
在没有Spring Security的时候,我们直接访问REST APi可以得到结果,但是当我们的应用加入了Spring security之后,相当于加上了过滤器,其实Spring Security本身就是一个过滤器链,所有的请求在访问REST API时都要经过Spring Security的过滤器链,当返回应答的时候,也会走一遍这个过滤器链,然后返回给用户。

2、 Spring Security 核心组件
(1)spring security核心组件有:SecurityContext、SecurityContextHolder、Authentication、Userdetails 和 AuthenticationManager,下面分别介绍。

(2)SecurityContext:安全上下文,用户通过Spring Security 的校验之后,验证信息存储在SecurityContext中。

(3)SecurityContextHolder:SecurityContextHolder看名知义,是一个holder,用来hold住SecurityContext实例的。在典型的web应用程序中,用户登录一次,然后由其会话ID标识。服务器缓存持续时间会话的主体信息。SecurityContextHolder.getContext().setAuthentication(token);其作用就是存储当前认证信息。

(4)Authentication:authentication 直译过来是“认证”的意思,在Spring Security 中Authentication用来表示当前用户是谁,一般来讲你可以理解为authentication就是一组用户名密码信息。因此可以推断其实现类有这4个属性。这几个方法作用如下:
getAuthorities: 获取用户权限,一般情况下获取到的是用户的角色信息。
getCredentials: 获取证明用户认证的信息,通常情况下获取到的是密码等信息。
getDetails: 获取用户的额外信息,(这部分信息可以是我们的用户表中的信息)
getPrincipal: 获取用户身份信息,在未认证的情况下获取到的是用户名,在已认证的情况下获取到的是 UserDetails (UserDetails也是一个接口,里边的方法有getUsername,getPassword等)。
isAuthenticated: 获取当前 Authentication 是否已认证。
setAuthenticated: 设置当前 Authentication 是否已认证(true or false)。

(5)UserDetails:UserDetails,看名知义,是用户信息的意思。
方法含义如下:
getAuthorites:获取用户权限,本质上是用户的角色信息。
getPassword: 获取密码。
getUserName: 获取用户名。
isAccountNonExpired: 账户是否过期。
isAccountNonLocked: 账户是否被锁定。
isCredentialsNonExpired: 密码是否过期。
isEnabled: 账户是否可用。

(6)UserDetailsService
提到了UserDetails就必须得提到UserDetailsService, UserDetailsService也是一个接口,且只有一个方法loadUserByUsername,他可以用来获取UserDetails。通常在spring security应用中,我们会自定义一个CustomUserDetailsService来实现UserDetailsService接口,并实现其public UserDetails loadUserByUsername(final String login);方法

(7)AuthenticationManager
AuthenticationManager 的作用就是校验Authentication,如果验证失败会抛出AuthenticationException 异常。

3、执行流程
登录流程:
(1) 根据用户名密码创建令牌对象JwtAuthenticationToken(尚无权限数据)。
(2) 根据令牌对象执行登录认证,UserDetailsService调用loadUserByUsername方法获取用户权限信息,返回Authentication(认证信息)。
(3) 认证成功后,存储认证信息到上下文。
(4) 根据Authentication(认证信息)生成token,返回给客户端。
请求流程:
(1) 请求携带token,解析token,获取Claims,token错误或者过期,则返回空的Claims。
(2) 根据token获取认证信息,将认证信息存储到上下文。
(3) 访问接口。
说明:菜单按钮权限信息(sys:menu:add)可以存储在token中,每次请求的时候可以不用再查询数据库获取。

你可能感兴趣的:(JavaEE框架,java,jwt,spring)