Spring Security：Authentication 认证（一）

• 用户名和密码：如何使用用户名/密码进行身份验证

• OAuth 2.0登录：使用 OpenID Connect 和非标准 OAuth 2.0 登录（即 GitHub）登录的 OAuth 2.0

• SAML 2.0登录：SAML 2.0 登录

• 中央身份验证服务器（CAS）：中央身份验证服务器（CAS）支持

• Remember Me：记住用户过期的会话的功能

• JAAS认证：使用 JAAS 进行认证

• OpenID：OpenID 身份验证（请勿与 OpenID Connect 混淆）

• 预先身份验证方案（Pre-Authentication Scenarios）：使用诸如 SiteMinder 或 Java EE 安全性之类的外部机制进行身份验证，但仍使用 Spring Security 进行授权和防范常见漏洞利用。

• X509验证：X509 验证

2. Authentication 主要构件介绍

　　① SecurityContextHolder

　　 Spring Security 身份验证模型的核心是 SecurityContextHolder。它包含 SecurityContext。

　　它们 Authentication 在 Spring Security 中有两个主要目的：

• AuthenticationManager 用于提供用户已提供身份验证的凭据的输入。在这种情况下使用时， isAuthenticated() 返回 false。

• 代表当前经过身份验证的用户。当前 Authentication 可以从 SecurityContext 获得。

　　该 Authentication 包含：

• principal：识别用户。使用用户名/密码进行身份验证时，这通常是的实例  UserDetails 。

• credentials：通常是密码。在许多情况下，将在验证用户身份后清除此内容，以确保它不会泄漏。

• authorities：在 GrantedAuthority 是授予用户的高级别权限。比如说角色或范围。

　　④ GrantedAuthority 授予的权限

　　GrantedAuthority 是用户将被授予的高级别权限。比如说角色或范围。

　　AbstractAuthenticationProcessingFilter 用作验证用户凭据的基本过滤器。 在对凭证进行身份验证之前，Spring Security 通常使用 AuthenticationEntryPoint 请求凭证。

　　接下来，AbstractAuthenticationProcessingFilter 可以对提交给它的任何身份验证请求进行身份验证。

　　1. 当用户提交其凭据时，AbstractAuthenticationProcessingFilter 从要验证的 HttpServletRequest 创建一个 Authentication。创建的身份验证类型取决于 AbstractAuthenticationProcessingFilter 的子类。例如，UsernamePasswordAuthenticationFilter 根据在 HttpServletRequest 中提交的用户名和密码来创建UsernamePasswordAuthenticationToken。

　　2. 接下来，将身份验证传递到AuthenticationManager进行身份验证。

　　3. 如果身份验证失败，则失败事件有：

　　　　已清除 SecurityContextHolder。

　　　　RememberMeServices.loginFail 被调用。如果 RememberMe 未配置，则为空。

　　　　AuthenticationFailureHandler 被调用。

　　4. 如果身份验证成功，则成功事件有：

　　　　SessionAuthenticationStrategy 会通知有新的登录。

　　　　身份验证是在SecurityContextHolder上设置的。 之后，SecurityContextPersistenceFilter 将 SecurityContext 保存到 HttpSession中。

　　　　RememberMeServices.loginSuccess 被调用。 如果 RememberMe 未配置，则为空。

　　　　ApplicationEventPublisher 发布一个 InteractiveAuthenticationSuccessEvent。

　　⑩ Username/Password Authentication

　　验证用户身份的最常见方法之一是验证用户名和密码。这样，Spring Security 为使用用户名和密码进行身份验证提供了全面的支持。

　　Spring Security 提供了以下内置机制，用于从 HttpServletRequest 中读取用户名和密码：

• Form Login（表单登入）

• Basic Authentication（基本认证）

• Digest Authentication（摘要式身份验证）

　　用于读取用户名和密码的每种受支持的机制都可以利用任何受支持的存储机制：

• 具有内存内认证的简单存储（In-Memory Authentication）
• 具有 JDBC 身份验证的关系数据库（JDBC Authentication）
• 使用 UserDetailsService 的自定义数据存储（use UserDetails）
• 具有 LDAP 认证的 LDAP 存储（LDAP Authentication）

　　? Session Management

　　与 HTTP 会话相关的功能由 SessionManagementFilter 和 SessionAuthenticationStrategy 接口的组合来处理，过滤器委托该接口。 典型的用法包括防止会话固定保护攻击，检测会话超时以及限制已认证用户可以同时打开多少个会话。其功能有：

• 检测超时

• 并发会话控制

• 会话固定攻击防护

• SessionManagementFilter

• SessionAuthenticationStrategy

• 并发控制

　　? Remember-Me 认证

　　“记住我”或“永久登录”身份验证是指能够记住会话之间的主体身份的网站。 通常，这是通过向浏览器发送一个 cookie 来实现的，该 cookie 在以后的会话中被检测到并导致自动登录。 Spring Security 提供了进行这些操作所需的钩子，并具有两个具体的“记住我”实现。 一种使用散列来保留基于 cookie 的令牌的安全性，另一种使用数据库或其他持久性存储机制来存储生成的令牌。这两种实现都需要 UserDetailsService。

　　? 注销处理

　　使用 WebSecurityConfigurerAdapter 时，将自动应用注销功能。 默认是访问 URL / logout 将通过以下方式注销用户：

• 使 HTTP 会话无效

• 清理配置的所有 RememberMe 身份验证

• 清除 SecurityContextHolder

• 重定向到 /login？logout

? 认证事件

　　对于成功或失败的每个身份验证，分别触发 AuthenticationSuccessEvent 或 AuthenticationFailureEvent。

　　若要侦听这些事件，必须首先发布 AuthenticationEventPublisher。 Spring Security 的 DefaultAuthenticationEventPublisher 可能会很好：

@Bean
public AuthenticationEventPublisher authenticationEventPublisher
        (ApplicationEventPublisher applicationEventPublisher) {
    return new DefaultAuthenticationEventPublisher(applicationEventPublisher);
}

　　然后，你可以使用 Spring 的 @EventListener 支持：

@Component
public class AuthenticationEvents {
    @EventListener
    public void onSuccess(AuthenticationSuccessEvent success) {
        // ...
    }

    @EventListener
    public void onFailure(AuthenticationFailureEvent failures) {
        // ...
    }
}

　　尽管与 AuthenticationSuccessHandler 和 AuthenticationFailureHandler 相似，但它们的优点是可以独立于Servlet API使用。

　　（etc.）

主要译自：Spring Security官方文档