SpringSecurity用户定义的方法是什么

这篇文章主要介绍“Spring Security用户定义的方法是什么”，在日常操作中，相信很多人在Spring Security用户定义的方法是什么问题上存在疑惑，小编查阅了各式资料，整理出简单好用的操作方法，希望对大家解答”Spring Security用户定义的方法是什么”的疑惑有所帮助！接下来，请跟着小编一起来学习吧！

网站建设哪家好，找创新互联建站！专注于网页设计、网站建设、微信开发、微信小程序开发、集团企业网站建设等服务项目。为回馈新老客户创新互联还提供了兴隆免费建站欢迎大家使用！

1.绝活一

先来看如下一段代码：

@Configuration
public class SecurityConfig {
    @Bean
    UserDetailsService us() {
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        manager.createUser(User.withUsername("sang").password("{noop}123").roles("admin").build());
        return manager;
    }

    @Configuration
    @Order(1)
    static class DefaultWebSecurityConfig extends WebSecurityConfigurerAdapter {
        UserDetailsService us1() {
            InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
            manager.createUser(User.withUsername("javaboy").password("{noop}123").roles("admin", "aaa", "bbb").build());
            return manager;
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/foo/**")
                    .authorizeRequests()
                    .anyRequest().hasRole("admin")
                    .and()
                    .formLogin()
                    .loginProcessingUrl("/foo/login")
                    .permitAll()
                    .and()
                    .userDetailsService(us1())
                    .csrf().disable();
        }
    }

    @Configuration
    @Order(2)
    static class DefaultWebSecurityConfig2 extends WebSecurityConfigurerAdapter {
        UserDetailsService us2() {
            InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
            manager.createUser(User.withUsername("江南一点雨").password("{noop}123").roles("user", "aaa", "bbb").build());
            return manager;
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/bar/**")
                    .authorizeRequests()
                    .anyRequest().hasRole("user")
                    .and()
                    .formLogin()
                    .loginProcessingUrl("/bar/login")
                    .permitAll()
                    .and()
                    .csrf().disable()
                    .userDetailsService(us2());
        }
    }
}

大家注意，在每一个过滤器链中，我都提供了一个 UserDetailsService 实例，然后在 configure(HttpSecurity http) 方法中，配置这个 UserDetailsService 实例。除了每一个过滤器链中都配置一个 UserDetailsService 之外，我还提供了一个 UserDetailsService 的 Bean，所以这里前前后后相当于一共有三个用户，那么我们登录时候，使用哪个用户可以登录成功呢？

先说结论：

• 如果登录地址是 /foo/login，那么通过 sang 和 javaboy 两个用户可以登录成功。
• 如果登录地址是 /bar/login，那么通过 sang 和 江南一点雨 两个用户可以登录成功。

也就是说，那个全局的，公共的 UserDetailsService 总是有效的，而针对不同过滤器链配置的 UserDetailsService 则只针对当前过滤器链生效。

❝  

这里为了方便，使用了基于内存的 UserDetailsService，当然你也可以替换为基于数据库的 UserDetailsService。

那么接下来我们就来分析一下，为什么是这个样子？

 

1.1 源码分析

 

1.1.1 全局 AuthenticationManager

首先大家注意，虽然我定义了两个过滤器链，但是在两个过滤器链的定义中，我都没有重写 configure(AuthenticationManagerBuilder auth) 方法，结合上篇文章，没有重写这个方法，就意味著 AuthenticationConfiguration 中提供的全局 AuthenticationManager 是有效的，也就是说，系统默认提供的 AuthenticationManager 将作为其他局部 AuthenticationManager 的 parent。

那么我们来看下全局的 AuthenticationManager 配置都配了啥？

public AuthenticationManager getAuthenticationManager() throws Exception {
 if (this.authenticationManagerInitialized) {
  return this.authenticationManager;
 }
 AuthenticationManagerBuilder authBuilder = this.applicationContext.getBean(AuthenticationManagerBuilder.class);
 if (this.buildingAuthenticationManager.getAndSet(true)) {
  return new AuthenticationManagerDelegator(authBuilder);
 }
 for (GlobalAuthenticationConfigurerAdapter config : globalAuthConfigurers) {
  authBuilder.apply(config);
 }
 authenticationManager = authBuilder.build();
 if (authenticationManager == null) {
  authenticationManager = getAuthenticationManagerBean();
 }
 this.authenticationManagerInitialized = true;
 return authenticationManager;
}

 

全局的配置中，有一步就是遍历 globalAuthConfigurers，遍历全局的 xxxConfigurer，并进行配置。全局的 xxxConfigurer 一共有三个，分别是：

• EnableGlobalAuthenticationAutowiredConfigurer
• InitializeUserDetailsBeanManagerConfigurer
• InitializeAuthenticationProviderBeanManagerConfigurer

其中 InitializeUserDetailsBeanManagerConfigurer，看名字就是用来配置 UserDetailsService 的，我们来看下：

@Order(InitializeUserDetailsBeanManagerConfigurer.DEFAULT_ORDER)
class InitializeUserDetailsBeanManagerConfigurer
  extends GlobalAuthenticationConfigurerAdapter {
 @Override
 public void init(AuthenticationManagerBuilder auth) throws Exception {
  auth.apply(new InitializeUserDetailsManagerConfigurer());
 }
 class InitializeUserDetailsManagerConfigurer
   extends GlobalAuthenticationConfigurerAdapter {
  @Override
  public void configure(AuthenticationManagerBuilder auth) throws Exception {
   if (auth.isConfigured()) {
    return;
   }
   UserDetailsService userDetailsService = getBeanOrNull(
     UserDetailsService.class);
   if (userDetailsService == null) {
    return;
   }
   PasswordEncoder passwordEncoder = getBeanOrNull(PasswordEncoder.class);
   UserDetailsPasswordService passwordManager = getBeanOrNull(UserDetailsPasswordService.class);
   DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
   provider.setUserDetailsService(userDetailsService);
   if (passwordEncoder != null) {
    provider.setPasswordEncoder(passwordEncoder);
   }
   if (passwordManager != null) {
    provider.setUserDetailsPasswordService(passwordManager);
   }
   provider.afterPropertiesSet();
   auth.authenticationProvider(provider);
  }
 }
}

 

可以看到，InitializeUserDetailsBeanManagerConfigurer 中定义了内部类，在其内部类的 configure 方法中，通过 getBeanOrNull 去从容器中查找 UserDetailsService 实例，查找到之后，创建 DaoAuthenticationProvider，并最终配置给 auth 对象。

这里的 getBeanOrNull 方法从容器中查找到的，实际上就是 Spring 容器中的 Bean，也就是我们一开始配置了 sang 用户的那个 Bean，这个 Bean 被交给了全局的 AuthenticationManager，也就是所有局部 AuthenticationManager 的 parent。

 

1.1.2 局部 AuthenticationManager

所有 HttpSecurity 在构建的过程中，都会传递一个局部的 AuthenticationManagerBuilder 进来，这个局部的 AuthenticationManagerBuilder 一旦传进来就存入了共享对象中，以后需要用的时候再从共享对象中取出来，部分代码如下所示：

public HttpSecurity(ObjectPostProcessor