spring security FormLoginConfigure的作用和源码解读

这一节来研究下spring security中FormLoginConfigurer这个配置器的作用

一、综述

FormLoginConfigurer 本质上还是一个SecurityConfigurer,用来对HttpSecurity这个构建器进行配置，它用来对表单登录的功能进行配置，通过HttpSecurity#formLogin()方法来给HttpSecurity 对象中添加此配置器,也就是添加表单登录的功能

二、构造方法

先看下构造方法

public FormLoginConfigurer() {
    // 创建了一个UsernamePasswordAuthenticationFilter,传给了父类构造方法
    super(new UsernamePasswordAuthenticationFilter(), null);
    //设置登录时接收用户名的参数名
    usernameParameter("username");
    //设置登录时接收密码的参数名
    passwordParameter("password");
}
//上边的usernameParameter,passwordParameter可以用来调整登录时的参数名

接下来看下父类AbstractAuthenticationFilterConfigurer的构造方法

private F authFilter;//这个过滤器最后会被添加到DefaultSecurityFilterChain中用来处理表单登录请求

protected AbstractAuthenticationFilterConfigurer(F authenticationFilter,
			String defaultLoginProcessingUrl) {
		//调自己的无参数构造方法
		this();
		//把子类中new出的UsernamePasswordAuthenticationFilter赋值给了类中的属性authFilter
		//这个过滤器最后会被添加到DefaultSecurityFilterChain中用来处理表单登录请求
		this.authFilter = authenticationFilter;
		//这里是在处理接收登录请求的url
		if (defaultLoginProcessingUrl != null) {
			loginProcessingUrl(defaultLoginProcessingUrl);
		}
}

再看下AbstractAuthenticationFilterConfigurer的的无参数构造方法

private String loginPage;
private String loginProcessingUrl;

protected AbstractAuthenticationFilterConfigurer() {
    //设置了登录页面的访问地址为/login
    setLoginPage("/login");
}

private void setLoginPage(String loginPage) {
    //对loginPage这个类属性赋默认值 /login
    this.loginPage = loginPage;
    this.authenticationEntryPoint = new LoginUrlAuthenticationEntryPoint(loginPage);
}

三、loginPage和loginProcessingUrl方法

loginPage方法用来自定义登录页面，loginProcessingUrl用来指定登录请求的url

public FormLoginConfigurer<H> loginPage(String loginPage) {
    //调用父类的方法
    return super.loginPage(loginPage);
}

public T loginProcessingUrl(String loginProcessingUrl) {
		this.loginProcessingUrl = loginProcessingUrl;
	//这样设置以后这个过滤器也就是UsernamePasswordAuthenticationFilter匹配到请求路径
    //是loginProcessingUrl就会把这次请求当做登录来进行处理
    authFilter	.setRequiresAuthenticationRequestMatcher(createLoginProcessingUrlMatcher(loginProcessingUrl));
		return getSelf();
}

父类AbstractAuthenticationFilterConfigurer#loginPage

protected T loginPage(String loginPage) {
    setLoginPage(loginPage);
    //更新认证相关的一些默认值
    updateAuthenticationDefaults();
    this.customLoginPage = true;
    return getSelf();
}

protected final void updateAuthenticationDefaults() {
    if (loginProcessingUrl == null) {
        //如果没有指定loginProcessingUrl就把loginPage作为它
        //所以结合上边的构造方法可以知道默认情况下使用表单登录时loginProcessingUrl
        //和loginPage都是 /login
        loginProcessingUrl(loginPage);
    }
    if (failureHandler == null) {
        //设置登录失败的url
        failureUrl(loginPage + "?error");
    }

    final LogoutConfigurer<B> logoutConfigurer = getBuilder().getConfigurer(
        LogoutConfigurer.class);
    if (logoutConfigurer != null && !logoutConfigurer.isCustomLogoutSuccess()) {
        //退出的Url
        logoutConfigurer.logoutSuccessUrl(loginPage + "?logout");
    }
}

根据上边的源码可以得出一个重要的结论,如果自定义了loginPage就一定也要自定义loginProcessingUrl,

因为如果你只自定义loginPage那么loginProcessingUrl就会等于loginPage，加入你的loginPage="/login.html",显然这个地址是不能处理登录的。

四、init方法

因为FormLoginConfigurer 本质上还是一个SecurityConfigurer,所以它会有一个init方法来进行初始化。

@Override
public void init(H http) throws Exception {
    //调用父类的init方法
    super.init(http);
    //初始化生成登录页面的过滤器
    initDefaultLoginFilter(http);
}

private void initDefaultLoginFilter(H http) {
    //spring security中哪个默认的登录页面就是通过这个过滤器生成的,这里是从共享对象中获取它,
    //它是在DefaultLoginPageConfigurer这个配置器中添加到共享对象中的。
    //共享对象是spring security定义的，用来在配置过程中共享对象的。
    DefaultLoginPageGeneratingFilter loginPageGeneratingFilter = http
        .getSharedObject(DefaultLoginPageGeneratingFilter.class);
    //底下就是在把通过FormLoginConfigurer设置的一些属性设置到过滤器中，用来生成默认登录页面
    //例如username,password肯定会被作为登录页面中的表单属性。
    if (loginPageGeneratingFilter != null && !isCustomLoginPage()) {
        loginPageGeneratingFilter.setFormLoginEnabled(true);
        loginPageGeneratingFilter.setUsernameParameter(getUsernameParameter());
        loginPageGeneratingFilter.setPasswordParameter(getPasswordParameter());
        loginPageGeneratingFilter.setLoginPageUrl(getLoginPage());
        loginPageGeneratingFilter.setFailureUrl(getFailureUrl());
        loginPageGeneratingFilter.setAuthenticationUrl(getLoginProcessingUrl());
    }
}

继续看下父类的init方法

@Override
//这个方法就是设置了一些默认值
public void init(B http) throws Exception {
    //设置认证相关的默认值
    updateAuthenticationDefaults();
    updateAccessDefaults(http);
    registerDefaultAuthenticationEntryPoint(http);
}

protected final void updateAuthenticationDefaults() {
    // 如果url为空就设置这个url
    if (loginProcessingUrl == null) {
        //url为空就设置成loginPage也就是上边构造方法传的 /login
        //如果你仅自定义了loginPage,执行到这里就会造成loginPage==loginProcessingUrl
        //所以loginPage，loginProcessingUrl这两个要一起自定义
        loginProcessingUrl(loginPage);
    }
    //登录失败处理器的默认值设置
    if (failureHandler == null) {
        failureUrl(loginPage + "?error");
    }
	//logout配置
    final LogoutConfigurer<B> logoutConfigurer = getBuilder().getConfigurer(
        LogoutConfigurer.class);
    //如果有logout配置，并且不是用户自定义的,就设置logoutSuccessUrl
    if (logoutConfigurer != null && !logoutConfigurer.isCustomLogoutSuccess()) {
        logoutConfigurer.logoutSuccessUrl(loginPage + "?logout");
    }
}

五、configure方法

因为FormLoginConfigurer 本质上还是一个SecurityConfigurer,所以它或者它的父类会有一个configure方法

AbstractAuthenticationFilterConfigurer#configure

//这个方法用来对属性authFilter也就是UsernamePasswordAuthenticationFilter做一些配置
@Override
public void configure(B http) throws Exception {
    PortMapper portMapper = http.getSharedObject(PortMapper.class);
    if (portMapper != null) {
        authenticationEntryPoint.setPortMapper(portMapper);
    }

    RequestCache requestCache = http.getSharedObject(RequestCache.class);
    if (requestCache != null) {
        this.defaultSuccessHandler.setRequestCache(requestCache);
    }
	//这个filter就是构造方法中传过来的UsernamePasswordAuthenticationFilter,
    //在这个filter中会有一个authenticationManager属性，用来验证用户名和密码是否正确
    //这个属性就是在这里赋值的,从共享对象中取出AuthenticationManager
    authFilter.setAuthenticationManager(http
                                        .getSharedObject(AuthenticationManager.class));
    authFilter.setAuthenticationSuccessHandler(successHandler);
    authFilter.setAuthenticationFailureHandler(failureHandler);
    if (authenticationDetailsSource != null) {
        authFilter.setAuthenticationDetailsSource(authenticationDetailsSource);
    }
    SessionAuthenticationStrategy sessionAuthenticationStrategy = http
        .getSharedObject(SessionAuthenticationStrategy.class);
    if (sessionAuthenticationStrategy != null) {
        authFilter.setSessionAuthenticationStrategy(sessionAuthenticationStrategy);
    }
    RememberMeServices rememberMeServices = http
        .getSharedObject(RememberMeServices.class);
    if (rememberMeServices != null) {
        authFilter.setRememberMeServices(rememberMeServices);
    }
    //这是在后处理器对authFilter进行加工,后处理是由使用者提供来对authFilter做进一步处理,
    //大部分情况都没有处理器
    F filter = postProcess(authFilter);
    //把authFilter添加到HttpSecurity中,最终会被加到DefaultSecurityFilterChain中
    http.addFilter(filter);
}

上边提到了从SharedObject中获取AuthenticationManager的对象,那么它是在什么时候放进SharedObject的呢?

是在HttpSecurity的beforeConfigure方法中添加进去的

HttpSecurity

@Override
protected void beforeConfigure() throws Exception {
    //实际是调用了AuthenticationManagerBuilder.build方法来生成对象,
    //这个AuthenticationManagerBuilder也实现了SecurityBuilder,也是一个构件器
    setSharedObject(AuthenticationManager.class, getAuthenticationRegistry().build());
}

private AuthenticationManagerBuilder getAuthenticationRegistry() {
    return getSharedObject(AuthenticationManagerBuilder.class);
}

关于AuthenticationManager的作用,可以看这一篇详细了解下 spring seurity表单认证的原理