Spring Security 中的 AuthenticationManager

在本篇博客中，我们将探讨 AuthenticationManager 在 Spring Security 中的作用，并指导您完成其配置和实际应用。

AuthenticationManager 概述

AuthenticationManager 是 Spring Security 中处理认证请求的入口点。它充当协调者的角色，通过委托一个或多个 AuthenticationProvider 实例来实际验证用户凭证，从而编排整个认证过程。

关键职责

处理认证请求：接受一个 Authentication 对象作为输入，并尝试根据提供的凭证认证用户。
委托认证任务：将认证任务委托给一系列 AuthenticationProvider，每个 AuthenticationProvider 可以处理不同类型的认证。
返回认证结果：认证成功后，返回一个完全填充的 Authentication 对象，包括主体（principal）和授予权限（granted authorities）等详细信息。

配置和使用 AuthenticationManager

实施 AuthenticationManager 涉及配置 Spring Security 以使用它，并根据需要添加自定义的 AuthenticationProvider。以下是几个示例，演示如何在 Spring 应用中配置和使用 AuthenticationManager。

示例 1：基本的 AuthenticationManager 配置

一种简单的方式是在 SecurityConfig 类中配置 AuthenticationManager，在此类中定义您的安全配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Autowired
    private UserDetailsService userDetailsService;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults());

        return http.build();
    }

    @Bean
    public AuthenticationManager authenticationManager(AuthenticationConfiguration authenticationConfiguration) throws Exception {
        return authenticationConfiguration.getAuthenticationManager();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在这个配置中，定义了一个 authenticationManager bean，可以在应用程序的其他部分自动注入和使用。

示例 2：带有自定义 AuthenticationProvider 的 AuthenticationManager

对于更复杂的认证场景，您可以实现一个自定义的 AuthenticationProvider 并将其注册到 AuthenticationManager。

@Service
public class CustomAuthenticationProvider implements AuthenticationProvider {

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.getName();
        String password = authentication.getCredentials().toString();

        // 自定义认证逻辑
        if ("user".equals(username) && "password".equals(password)) {
            return new UsernamePasswordAuthenticationToken(username, password, Collections.emptyList());
        } else {
            throw new BadCredentialsException("认证失败");
        }
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(UsernamePasswordAuthenticationToken.class);
    }
}

@Configuration
public class AppConfig {

    @Autowired
    private CustomAuthenticationProvider customAuthenticationProvider;

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(customAuthenticationProvider);
    }
}

此示例展示了如何创建一个自定义的 AuthenticationProvider，其中包含用户认证的逻辑，并将其注册到 AuthenticationManagerBuilder。

示例 3：在应用程序中使用 AuthenticationManager

AuthenticationManager 可以直接在应用程序组件中使用，例如控制器，以编程方式管理认证。例如，在自定义登录过程中手动认证用户。

@Autowired
private AuthenticationManager authenticationManager;

public void authenticateUser(String username, String password) {
    try {
        Authentication authentication = authenticationManager.authenticate(
            new UsernamePasswordAuthenticationToken(username, password)
        );
        SecurityContextHolder.getContext().setAuthentication(authentication);
    } catch (AuthenticationException e) {
        // 处理认证失败的情况
        throw new RuntimeException("认证失败", e);
    }
}