Spring Security 的核心组件有哪些？

推荐答案

Spring Security 的核心组件包括：

1. SecurityContextHolder：用于存储当前安全上下文（SecurityContext）的详细信息，包括当前用户的认证信息。
2. SecurityContext：包含当前用户的认证信息（Authentication）。
3. Authentication：表示当前用户的认证信息，通常包含用户的主体（Principal）和权限（Authorities）。
4. UserDetails：提供核心用户信息，通常用于构建 Authentication 对象。
5. UserDetailsService：用于加载用户特定的数据，通常用于从数据库中加载用户信息。
6. GrantedAuthority：表示授予用户的权限或角色。
7. AuthenticationManager：负责处理认证请求，通常由 ProviderManager 实现。
8. ProviderManager：AuthenticationManager 的实现类，负责管理多个 AuthenticationProvider。
9. AuthenticationProvider：用于执行特定类型的认证。
10. AccessDecisionManager：负责决定是否允许用户访问某个资源。
11. FilterSecurityInterceptor：用于在请求处理之前进行安全拦截，确保用户具有访问资源的权限。
12. SecurityFilterChain：定义了一系列的过滤器链，用于处理 HTTP 请求的安全过滤。

本题详细解读

SecurityContextHolder

SecurityContextHolder 是 Spring Security 的核心组件之一，用于存储当前线程的安全上下文（SecurityContext）。它通常使用 ThreadLocal 来存储 SecurityContext，因此每个线程都有自己的安全上下文。通过 SecurityContextHolder，我们可以获取当前用户的认证信息。

SecurityContext context = SecurityContextHolder.getContext();
Authentication authentication = context.getAuthentication();

SecurityContext

SecurityContext 是 SecurityContextHolder 中存储的对象，它包含了当前用户的认证信息（Authentication）。SecurityContext 通常与当前线程绑定，因此可以在应用程序的任何地方访问当前用户的认证信息。

Authentication

Authentication 接口表示当前用户的认证信息。它通常包含以下信息：

• Principal：表示当前用户的主体，通常是用户名或用户对象。
• Credentials：表示用户的凭证，通常是密码。
• Authorities：表示用户被授予的权限或角色。

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
String username = authentication.getName();
Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();

UserDetails

UserDetails 接口提供了核心用户信息，通常用于构建 Authentication 对象。它包含了用户的用户名、密码、权限等信息。UserDetails 通常由 UserDetailsService 加载。

-- -------------------- ---- -------
------ --------- ----------- ------- ------------ -
    ------ --------------
    ------ --------------
    ------------ ------- ----------------- -----------------
    ------- ----------------------
    ------- ---------------------
    ------- --------------------------
    ------- ------------
-

UserDetailsService

UserDetailsService 接口用于加载用户特定的数据，通常用于从数据库中加载用户信息。它只有一个方法 loadUserByUsername，用于根据用户名加载用户信息。

public interface UserDetailsService {
    UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
}

GrantedAuthority

GrantedAuthority 接口表示授予用户的权限或角色。它通常与 Authentication 对象一起使用，表示用户具有的权限。

public interface GrantedAuthority extends Serializable {
    String getAuthority();
}

AuthenticationManager

AuthenticationManager 是 Spring Security 的核心接口之一，负责处理认证请求。它通常由 ProviderManager 实现，ProviderManager 会委托给多个 AuthenticationProvider 进行认证。

public interface AuthenticationManager {
    Authentication authenticate(Authentication authentication) throws AuthenticationException;
}

ProviderManager

ProviderManager 是 AuthenticationManager 的实现类，负责管理多个 AuthenticationProvider。它会依次调用每个 AuthenticationProvider 进行认证，直到有一个 AuthenticationProvider 成功认证用户。

AuthenticationProvider

AuthenticationProvider 接口用于执行特定类型的认证。每个 AuthenticationProvider 负责处理一种特定类型的认证请求。

public interface AuthenticationProvider {
    Authentication authenticate(Authentication authentication) throws AuthenticationException;
    boolean supports(Class<?> authentication);
}

AccessDecisionManager

AccessDecisionManager 接口负责决定是否允许用户访问某个资源。它通常与 AccessDecisionVoter 一起使用，AccessDecisionVoter 负责投票决定是否允许访问。

public interface AccessDecisionManager {
    void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes)
        throws AccessDeniedException, InsufficientAuthenticationException;
    boolean supports(ConfigAttribute attribute);
    boolean supports(Class<?> clazz);
}

FilterSecurityInterceptor

FilterSecurityInterceptor 是 Spring Security 中的一个过滤器，用于在请求处理之前进行安全拦截。它会检查用户是否具有访问某个资源的权限，如果没有权限，则会抛出 AccessDeniedException。

SecurityFilterChain

SecurityFilterChain 定义了一系列的过滤器链，用于处理 HTTP 请求的安全过滤。每个 SecurityFilterChain 可以配置不同的安全规则，适用于不同的 URL 模式。

public interface SecurityFilterChain {
    boolean matches(HttpServletRequest request);
    List<Filter> getFilters();
}