SpringSecurity—核心组件UserDetailsService

阅读完需：约 6 分钟

• UserDetails => Spring Security基础接口，包含某个用户的账号，密码，权限，状态（是否锁定）等信息。只有getter方法。
• Authentication => 认证对象，认证开始时创建，认证成功后存储于SecurityContext
• principal => 用户信息对象，是一个Object，通常可转为UserDetails

UserDetails 接口

用于表示一个principal,但是一般情况下是作为（你所使用的用户数据库）和（Spring Security 的安全上下文需要保留的信息）之间的适配器。

实际上就是相当于定义一个规范，Security这个框架不管你的应用时怎么存储用户和权限信息的。只要你取出来的时候把它包装成一个UserDetails对象给我用就可以了。

一共有七个方法：

package org.springframework.security.core.userdetails;

import java.io.Serializable;
import java.util.Collection;
import org.springframework.security.core.GrantedAuthority;

public interface UserDetails extends Serializable {
//返回用户的所有角色 一定一定不要忘记加上 ROLE_ 这个前缀
    Collection<? extends GrantedAuthority> getAuthorities();
//返回验证用户密码,无法返回则NULL
    String getPassword();
//返回验证用户密码,无法返回则NULL
    String getUsername();
//账户是否过期,过期无法验证
    boolean isAccountNonExpired();
//指定用户是否被锁定或者解锁,锁定的用户无法进行身份验证
    boolean isAccountNonLocked();
//指示是否已过期的用户的凭据(密码),过期的凭据防止认证
    boolean isCredentialsNonExpired();
//是否被禁用,禁用的用户不能身份验证
    boolean isEnabled();
}

使用：

public class User implements UserDetails {
    private  Integer id;
    private  String username;
    private String password;
    private Boolean enabled;
    private Boolean locked;
    private List<Role> roles;
    //省略 get，set，和接口方法
}

UserDetails 用来做什么，为啥要带上权限合集

如果我们不用认证框架，我们是怎么手动实现登录认证的？

基本上就是根据前端提交上来的用户名从数据库中查找这个账号的信息，然后比对密码。再进一步，可能还会添加一个字段来判断，当前用户是否已被锁定。这个接口就是这么用的。即把这些信息取出来，然后包装成一个对象交由框架去认证。

为什么还要带上权限？

因为登录成功后也不是什么都能访问的，还要根据你所拥有的权限进行判断。有权限你才能访问特定的对象。Security框架是这样设计的，即认证成功后，就把用户信息和拥有的权限都存储在SecurityContext中，当访问受保护资源（某个对象/方法）的时候，就把权限拿出来比对，看看是否满足。

UserDetails 默认实现

UserDetails有一个默认实现（框架提供的），User。用户可以从自己的数据库中取出此用户的账号，密码，以及相关权限，然后用构造方法填充创建一个User对象即可。 

注：实现CredentialsContainer接口是为了在登录成功后，清除用户信息中的密码。（登录成功后会将用户信息存储在SecurityContext中）

什么时候提供 UserDetails 信息，怎么提供？

UserDetailsService接口

那肯定是认证的时候。其实认证的操作，框架都已经帮你实现了，它所需要的只是，你给我提供获取信息的方式。所以它就定义一个接口，然后让你去实现，实现好了之后再注入给它。

框架提供一个UserDetailsService接口用来加载用户信息。如果要自定义实现的话，用户可以实现一个CustomUserDetailsService的类，然后把你的应用中的UserService和AuthorityService注入到这个类中，用户获取用户信息和权限信息，然后在loadUserByUsername方法中，构造一个User对象（框架的类）返回即可。

package org.springframework.security.core.userdetails;

public interface UserDetailsService {
    UserDetails loadUserByUsername(String var1) throws UsernameNotFoundException;
} 

框架提供的UserDetailsService接口默认实现

• InMemoryDaoImpl => 存储于内存
• JdbcDaoImpl => 存储于数据库（磁盘）

其中，如果你的数据库设计符合JdbcDaoImpl中的规范，你也就不用自己去实现UserDetailsService了。但是大多数情况是不符合的，因为你用户表不一定就叫users，可能还有其他前缀什么的，比如叫tb_users。或者字段名也跟它不一样。如果你一定要使用这个JdbcDaoImpl，你可以通过它的setter方法修改它的数据库查询语句。

注入到哪里去？

那肯定是注入到认证处理类中的，框架利用AuthenticationManager（接口）来进行认证。而Security为了支持多种方式认证，它提供ProviderManager类，这个实现了AuthenticationManager接口。它拥有多种认证方式，可以根据认证的类型委托给对应的认证处理类进行处理，这个处理类实现了AuthenticationProvider接口。所以，最终UserDetailsService是注入到AuthenticationProvider的实现类中。

UserDetailService 负责认证用户    实际上：UserDetailService只单纯地负责存取用户信息，除了给框架内的其他组件提供数据外没有其他功能。而认证过程是由AuthenticationManager来完成的。