spring security使用数据库验证的逻辑处理

前面做了多个示例，包括使用jdbc和hibernate两种方式访问数据库获取用户信息和权限信息，其中一些关键步骤如下：

 

我们在SecurityConfig中配置覆盖configure方法时候，可以指定authenticationProvider，也可以不需要指定，直接指定userDetailsService。例如：

@Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        authenticationProvider.setPasswordEncoder(passwordEncoder());
        auth.authenticationProvider(authenticationProvider);
        //auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

如果没有指定authenticationProvider，则security使用的是实现类DaoAuthenticationProvider。

如果指定自定义的authenticationProvider，为了方便，我们自定义的authenticationProvider也是继承自DaoAuthenticationProvider，只需要重写指定userDetailsService，authenticate方法，例如：

@Autowired
    @Qualifier("userDetailsService")
    @Override
    public void setUserDetailsService(UserDetailsService userDetailsService) {
        super.setUserDetailsService(userDetailsService);
    }

@Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        try {
            //调用上层验证逻辑
            Authentication auth = super.authenticate(authentication);
            //如果验证通过登录成功则重置尝试次数， 否则抛出异常
            userDetailsDao.resetFailAttempts(authentication.getName());
            return auth;
        } catch (BadCredentialsException e) {
            //如果验证不通过，则更新尝试次数，当超过次数以后抛出账号锁定异常
            userDetailsDao.updateFailAttempts(authentication.getName());
            throw e;
        } catch (LockedException e){
            //该用户已经被锁定，则进入这个异常
            String error;
            UserAttempts userAttempts =
                    userDetailsDao.getUserAttempts(authentication.getName());
            if(userAttempts != null){
                Date lastAttempts = userAttempts.getLastModified();
                error = "用户已经被锁定，用户名 : "
                        + authentication.getName() + "最后尝试登陆时间 : " + lastAttempts;
            }else{
                error = e.getMessage();
            }
            throw new LockedException(error);
        }
    }

在此方法中，仍然调用的是上层验证方法super.authenticate();在这里可以根据不同的验证异常抛出不同的异常，从而显示不同的用户账号状态，例如用户被锁定、用户失效、账号或者密码过期等，这里例子是多次登录失败锁定了用户。

 

下面我们看看security是如何验证账号的：

验证逻辑实现是在类AbstractUserDetailsAuthenticationProvider，此类实现了接口AuthenticationProvider的接口方法

Authentication authenticate(Authentication authentication)  throws AuthenticationException;

实现方法中首先获取security定义的接口UserDetails，先从缓存userCache中获取，如果不存在，则调用方法retrieveUser。

retrieveUser的方法实现是在类DaoAuthenticationProvider，这个方法中可以看到

UserDetails loadedUser;
        try {
            loadedUser = this.getUserDetailsService().loadUserByUsername(username);
        }
        catch (UsernameNotFoundException notFound) {
            if (authentication.getCredentials() != null) {
                String presentedPassword = authentication.getCredentials().toString();
                passwordEncoder.isPasswordValid(userNotFoundEncodedPassword,
                        presentedPassword, null);
            }
            throw notFound;
        }
.....

此处调用的是自定义的UserDetailsService中loadUserByUsername方法。于是可以看出自定义的UserDetailsService实现类关键是实现loadUserByUsername方法。

 

下面就两种方式的实现进行剖解：

1、使用jdbc方式时，我们自定义的UserDetailsService是继承了类JdbcDaoImpl，可以发现JdbcDaoImpl已经实现了接口UserDetailsService，实现了方法loadUserByUsername。

在实现方法中，关键是调用自己定义的两个方法loadUsersByUsername和createUserDetails。于是自定义的CustomUserDetailsService类只需要覆写这两个方法即可

@Override
    protected List<UserDetails> loadUsersByUsername(String username) {
        return getJdbcTemplate().query(super.getUsersByUsernameQuery(), new Object[]{username},
                (rs, rowNum) -> {
                    String username1 = rs.getString("username");
                    String password = rs.getString("password");
                    boolean enabled = rs.getBoolean("enabled");
                    boolean accountNonExpired = rs.getBoolean("accountNonExpired");
                    boolean credentialsNonExpired = rs.getBoolean("credentialsNonExpired");
                    boolean accountNonLocked = rs.getBoolean("accountNonLocked");
                    return new User(username1, password, enabled, accountNonExpired, credentialsNonExpired,
                            accountNonLocked, AuthorityUtils.NO_AUTHORITIES);
                });
    }
    @Override
    protected UserDetails createUserDetails(String username, UserDetails userFromUserQuery, List<GrantedAuthority> combinedAuthorities) {
        String returnUsername = userFromUserQuery.getUsername();
        if (!super.isUsernameBasedPrimaryKey()) {
            returnUsername = username;
        }
        return new User(returnUsername, userFromUserQuery.getPassword(),
                userFromUserQuery.isEnabled(),
                userFromUserQuery.isAccountNonExpired(),
                userFromUserQuery.isCredentialsNonExpired(),
                userFromUserQuery.isAccountNonLocked(), combinedAuthorities);
    }

在这里我们根据需要指定各个值，例如用户名，密码，是否可用，账号和密码是否过期，是否账号被锁等，所以如果已经设计完成的数据表中字段名称不一致也没有关系，只要含义相同，获取值指定即可。

2、使用hibernate方式时，需要自己实现UserDetailsService接口中的方法loadUserByUsername：

@Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userDao.findByUserName(username);
        if (user == null) {
            throw new UsernameNotFoundException("该用户不存在：" + username);
        }
        List<GrantedAuthority> authorities =  buildUserAuthority(user.getUserRole());
        return buildUserForAuthentication(user, authorities);
    }
    // 把自定义的User转换成org.springframework.security.core.userdetails.User
    private org.springframework.security.core.userdetails.User buildUserForAuthentication(
            User user,
            List<GrantedAuthority> authorities) {
        return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(),
                user.isEnabled(), user.isAccountNonExpired(), user.isCredentialsNonExpired(), user.isAccountNonLocked(), authorities);
    }
    private List<GrantedAuthority> buildUserAuthority(Set<UserRole> userRoles) {
        Set<GrantedAuthority> setAuths = new HashSet<>();
        // Build user's authorities
        for (UserRole userRole : userRoles) {
            setAuths.add(new SimpleGrantedAuthority(userRole.getRole()));
        }
        return new ArrayList<>(setAuths);
    }

在方法中使用hibernate的方式获取自定义的User实例，然后转换成security中的org.springframework.security.core.userdetails.User即可，org.springframework.security.core.userdetails.User是接口UserDetails的实现类。

 

附上所有示例的代码的github地址： https://github.com/hongxf1990/spring-security-learning 

 

嘿嘿，如果觉得以上实例项目中可以借鉴的话，不妨打个赏吧