SpringSecurity5（13-核心组件和认证流程）

SecurityContextHolder

SecurityContextHolder 持有的是安全上下文的信息，当前操作的用户是谁，用户是否已经被认证，他拥有哪些角色权限等，这些都被保存在 SecurityContextHolder 中。SecurityContextHolder 默认利用 ThreadLocal 策略来存储认证信息，在 web 环境下，SpringSecurity 在用户登录时主动绑定认证信息到当前线程，在用户退出时，主动清除当前线程的认证信息

1. public class SecurityContextHolder {
3.     // 三种工作模式的定义，每种工作模式对应一种策略
4.     public static final String MODE_THREADLOCAL = "MODE_THREADLOCAL";
5.     public static final String MODE_INHERITABLETHREADLOCAL = "MODE_INHERITABLETHREADLOCAL";
6.     public static final String MODE_GLOBAL = "MODE_GLOBAL";
8.     // 类加载时首先尝试从环境属性中获取所指定的工作模式
9.     public static final String SYSTEM_PROPERTY = "spring.security.strategy";       
10.     private static String strategyName = System.getProperty(SYSTEM_PROPERTY);
11.     private static SecurityContextHolderStrategy strategy;
13.     // 初始化计数器, 初始为 0,
14.     // 1. 类加载过程中会被初始化一次，此值变为 1
15.     // 2. 此后每次调用 setStrategyName 会对新的策略对象执行一次初始化，相应的该值会增 1
16.     private static int initializeCount = 0;
18.     static {
19.         initialize();
20.     }
22.     /**
23.      * 清除上下文
24.      */
25.     public static void clearContext() {
26.         strategy.clearContext();
27.     }
29.     /**
30.      * 获取上下文
31.      */
32.     public static SecurityContext getContext() {
33.         return strategy.getContext();
34.     }
36.     /**
37.      * 获取计数器的值
38.      */
39.     public static int getInitializeCount() {
40.         return initializeCount;
41.     }
43.     private static void initialize() {
44.         if (!StringUtils.hasText(strategyName)) {
45.             // Set default, 设置缺省工作模式/策略 MODE_THREADLOCAL
46.             strategyName = MODE_THREADLOCAL;
47.         }
49.         if (strategyName.equals(MODE_THREADLOCAL)) {
50.             strategy = new ThreadLocalSecurityContextHolderStrategy();
51.         } else if (strategyName.equals(MODE_INHERITABLETHREADLOCAL)) {
52.             strategy = new InheritableThreadLocalSecurityContextHolderStrategy();
53.         } else if (strategyName.equals(MODE_GLOBAL)) {
54.             strategy = new GlobalSecurityContextHolderStrategy();
55.         } else {
56.             // Try to load a custom strategy
57.             try {
58.                 Class<?> clazz = Class.forName(strategyName);
59.                 Constructor<?> customStrategy = clazz.getConstructor();
60.                 strategy = (SecurityContextHolderStrategy) customStrategy.newInstance();
61.             }
62.             catch (Exception ex) {
63.                 ReflectionUtils.handleReflectionException(ex);
64.             }
65.         }
66.         initializeCount++;
67.     }
69.     /**
70.      * 设置上下文
71.      */
72.     public static void setContext(SecurityContext context) {
73.         strategy.setContext(context);
74.     }
76.     /**
77.      * 设置工作模式
78.      */
79.     public static void setStrategyName(String strategyName) {
80.         SecurityContextHolder.strategyName = strategyName;
81.         initialize();
82.     }
84.     /**
85.      * 获取对应工作模式的策略
86.      */
87.     public static SecurityContextHolderStrategy getContextHolderStrategy() {
88.         return strategy;
89.     }
91.     /**
92.      * 创建空的上下文信息
93.      */
94.     public static SecurityContext createEmptyContext() {
95.         return strategy.createEmptyContext();
96.     }
98.     public String toString() {
99.         return "SecurityContextHolder[strategy='" + strategyName + "'; initializeCount="
100.                 + initializeCount + "]";
101.     }
102. }

复制代码

SecurityContext

安全上下文，主要持有 Authentication 对象，如果用户未鉴权，那么 Authentication 对象将会是空的

1. public interface SecurityContext extends Serializable {
2.     /**
3.      * 获取当前经过身份验证的主体，或身份验证请求令牌
4.      */
5.     Authentication getAuthentication();
7.     /**
8.      * 更改当前经过身份验证的主体，或删除身份验证信息
9.      */
10.     void setAuthentication(Authentication authentication);
11. }

复制代码

Authentication

鉴权对象，该对象主要包含了用户的详细信息（UserDetails）和用户鉴权所必要的信息，如用户提交的用户名暗码、Remember-me Token 或 digest hash 值等，按不同鉴权方式利用不同的 Authentication 实现
[code]public interface Authentication extends Principal, Serializable {    //用来获取用户的权限。    Collection