Spring Security 中如何自定义认证逻辑？

推荐答案

在 Spring Security 中，自定义认证逻辑通常通过实现 UserDetailsService 接口或自定义 AuthenticationProvider 来完成。以下是两种常见的方式：

1. 实现 UserDetailsService 接口

// www.javascriptcn.com code example
@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found");
        }
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                getAuthorities(user)
        );
    }

    private Collection<? extends GrantedAuthority> getAuthorities(User user) {
        // 返回用户的权限列表
        return user.getRoles().stream()
                .map(role -> new SimpleGrantedAuthority(role.getName()))
                .collect(Collectors.toList());
    }
}

2. 自定义 AuthenticationProvider

// www.javascriptcn.com code example
@Component
public class CustomAuthenticationProvider implements AuthenticationProvider {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.getName();
        String password = authentication.getCredentials().toString();

        UserDetails userDetails = userDetailsService.loadUserByUsername(username);

        if (passwordEncoder.matches(password, userDetails.getPassword())) {
            return new UsernamePasswordAuthenticationToken(
                    userDetails,
                    password,
                    userDetails.getAuthorities()
            );
        } else {
            throw new BadCredentialsException("Invalid username or password");
        }
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(UsernamePasswordAuthenticationToken.class);
    }
}

本题详细解读

1. 实现 UserDetailsService 接口

UserDetailsService 是 Spring Security 中用于加载用户特定数据的核心接口。通过实现该接口，你可以自定义从数据库或其他数据源中加载用户信息的方式。loadUserByUsername 方法用于根据用户名加载用户信息，并返回一个 UserDetails 对象，该对象包含了用户的用户名、密码和权限信息。

2. 自定义 AuthenticationProvider

AuthenticationProvider 是 Spring Security 中用于处理认证请求的接口。通过实现该接口，你可以自定义认证逻辑。authenticate 方法用于执行实际的认证过程，通常包括验证用户名和密码，并返回一个 Authentication 对象。supports 方法用于指定该 AuthenticationProvider 支持的认证类型。

3. 配置 Spring Security

在自定义了 UserDetailsService 或 AuthenticationProvider 之后，你需要在 Spring Security 的配置类中进行相应的配置。例如：

// www.javascriptcn.com code example
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Autowired
    private CustomAuthenticationProvider authenticationProvider;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
        auth.authenticationProvider(authenticationProvider);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
                .logout()
                .permitAll();
    }
}

通过以上配置，Spring Security 将使用自定义的 UserDetailsService 和 AuthenticationProvider 来处理认证请求。