认证流程源码级详解
之前的课程都是实现spring给出的扩展钩子。比如：自定义登录页，自定义登录成功处理等；
但是是很碎片化的，在脑海中链接不起来，只知道该这样做；
本章节讲述源码。
- 认证处理流程说明
- 认证结果如何在多个请求之间共享
- 获取认证用户信息
认证处理流程说明
跟着这个流程和之前配置的地方，去一步一步的看源码；这个很重要！！
- AuthenticationManager 管理所有的Provider，并选择适合的进行验证
- AuthenticationProvider 验证提供者，可以自己写provider处理自己的业务场景逻辑
认证结果如何在多个请求之间共享
在认证成功的情况下，
org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter#successfulAuthentication
SecurityContextHolder.getContext().setAuthentication(authResult);
SecurityContext 默策略是一个 org.springframework.security.core.context.ThreadLocalSecurityContextHolderStrategy 对象，
内部使用`ThreadLocal<SecurityContext>`来存储；
上面的源码也就是上图右边部分； SecurityContext会
在同一个线程中可以通过这个context来获取到的。SecurityContextPersistenceFilter来获取；
SecurityContextPersistenceFilter 所在的位置如下图
网络编程模型好复杂啊。发起一个请求，有好几个请求进行，不只是要请的某一个地址。调试也很难调试出来。
获取认证用户信息
UserController中写api;
在前面分析了源码。所以这里可以使用SecurityContextHolder获取到当前的认证用户信息
@GetMapping("/me")
public Authentication getCurrentUser() {
Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
return authentication;
}
// 这样写 spring 会注入
@GetMapping("/me")
public Authentication getCurrentUser(Authentication authentication) {
return authentication;
}
输出;
{
"authorities": [
{
"authority": "admin"
}
],
"details": {
"remoteAddress": "0:0:0:0:0:0:0:1",
"sessionId": "CB434B240B0B1810ED922C9D877F5842"
},
"authenticated": true,
"principal": {
"password": null,
"username": "test001",
"authorities": [
{
"authority": "admin"
}
],
"accountNonExpired": true,
"accountNonLocked": true,
"credentialsNonExpired": true,
"enabled": true
},
"credentials": null,
"name": "test001"
}
注意看，password是不会返回来的；
如果上面的信息太多了，也可以使用参数注解@AuthenticationPrincipal UserDetails userDetails 获取User的信息
spring默认的SavedRequestAwareAuthenticationSuccessHandler类很强悍；
在这里测试的时候发现了。 由于之前写的访问api会返回json串提示，而不是登录页面；
- 访问/user/me
- 被拦截301跳转到自定义处理认证请求/authentication/require
- 输出了json串
- 手动输入 imocc-signIn.html 登录页面
- 登录成功后自定义认证成功处cn.mrcode.imooc.springsecurity.securitybrowser.MyAuthenticationSuccessHandler#onAuthenticationSuccess
- 根据配置为跳转，再跳转会引发认证跳转的 /user/me
看上面的流程，中间经历了手动输入。但是还能正确的拿到 引发认证前的地址。这个是怎么做到的？（在一个请求下会发起好多不相干的获取请求，感觉好难）
这里还有一个问题：是存储在什么地方的呢？上面的过滤器只是会在登录的时候引发，登录认证成功之后，后续还可以拿到信息； 稍微跟了下源码，在认证之后再次访问的时候，会有好多过滤器，去拿认证信息。具体是怎么的流程没有看懂