Spring Security HTTP认证
本文内容来自王松老师的《深入浅出Spring Security》，自己在学习的时候为了加深理解顺手抄录的，有时候还会写一些自己的想法。
HTTP提供了用户权限控制和认证的通用方式，这种认证方式通过HTTP请求头来提供认证信息，而不是通过表单登录。最为小伙伴熟知的应该是HTTP Basic Authentication，另外一种是相对安全的HTTP Digest Authentication。Spring Security中对于这两种认证方式都提供了相应的支持。接下来我们来学习下这两种认证的具体使用方法以及各自的优缺点。
HTTP Basic Authentication
HTTP Basic Authentication中文翻译为HTTP基本认证。在这种认证方式中，将用户的用户名/密码经过Base64编码之后，放在请求头的Authorization字段中，从而完成于用户的身份证。
在RFC7235（https://tools.ietf.org/html/rfc7235）规范中定义的认证方式，方客户端发起一个请求之后，服务端可以针对该请求返回一个质询信息，然后客户端再提供用户的凭证信息。具体的质询和应答流程如下图：
从上图我们可以看到，HTTP基本认证流程是这样的：
- 首先客户端（浏览器）发起请求
GET /hello HTTP/1.1 Host: localhost:8080 - 服务端收到请求，发现用户没有认证，于是给出如下响应。状态码401表示用户未完成认证，WWW-Authenticate响应头定义了使用何种认证方式去完成身份认证。最简单的、常见的的就是我们使用的HTTP基本认证（Basic）、Bearer（OAuth2.0认证）、Digest（HTTP摘要认证）等等取值。
HTTP/1.1 401 WWW-Authenticate: Basic realm="Realm" - 客户端收到服务器的响应之后，将用户名/密码使用Base64编码之后，放在请求头中再次发起请求
GET /hello HTTP/1.1 Host: localhost:8080 Authorization: Basic amF2YWJveToxMjM= -
服务器端解析Authorization字段，完成用户身份的校验，最后将资环返回给客户端
HTTP/1.1 200 Content-Type: text/html;charset=UTF-8 Content-Length: 16上面就是整个HTTP Basic Authenticaiton认证流程。
可以看到，这种认证方式实际上非常简单，基本上所有的浏览器上都支持这种认证方式。HTTP基本认证方式没有对传输的凭证信息进行加密，仅仅只是进行了Base64编码，这就造成了很大的安全隐患，所以如果用到HTTP基本的认证一般都是结合HTTPS一起使用。同时，一旦使用HTTP基本认证，除非用户关闭浏览器或者清空浏览器缓存，否则没有办法退出登录。
基本用法
Spring Security中开启HTTP基本认证非常容易，继承WebSecurityConfigurerAdapter重写configure(HttpSecurity http) 方法，配置配置如下：
@Overrideprotected void configure(HttpSecurity http) throws Exception {http.authorizeRequests().anyRequest().authenticated() .and().httpBasic().and().httpBasic(); }通过httpBasic()方法即可开启HTTP基本认证。配置完成之后，启动项目，此时如果要访问一个受保护的资源，浏览器会自动弹出一个认证框。输入正确的用户名/密码认证成功之后，就可以访问受保护的资源了。
源码分析
接下来我们看看Spring Security中是如何实现HTTP基本认证的。实现整体分为两部分：
- 对没有认证的请求发出咨询
- 解析携带了认证信息的请求
质询
httpBasic( )方法开启了HTTP基本认证的配置，具体通过配置HttpBasicConfigurer类来完成。在HttpBasicConfigurer配置类的init方法中调用了registerDefaultEntryPoint方法，该方法完成了失败请求处理类AuthenticationEntryPoint类的配置，代码如下：
private void registerDefaultEntryPoint(B http, RequestMatcher preferredMatcher) {ExceptionHandlingConfigurer exceptionHandling = http.getConfigurer(ExceptionHandlingConfigurer.class);if (exceptionHandling == null) {return;}exceptionHandling.defaultAuthenticationEntryPointFor(postProcess(this.authenticationEntryPoint),preferredMatcher);}这里配置到exceptionHandling中的authenticationEntryPoint是一个代理对象，具体代理的是BasicAuthenticationEntryPoint（启动项目的是debug时就能看到）。
简而言之，如果一个请求没有携带认证信息的话，最终将被BasicAuthenticationEntryPoint实例处理，我们来看下该类的主要实现：
public class BasicAuthenticationEntryPoint implements AuthenticationEntryPoint, InitializingBean {private String realmName;@Overridepublic void afterPropertiesSet() {Assert.hasText(this.realmName, "realmName must be specified");}@Overridepublic void commence(HttpServletRequest request, HttpServletResponse response,AuthenticationException authException) throws IOException {response.addHeader("WWW-Authenticate", "Basic realm=\"" + this.realmName + "\"");response.sendError(HttpStatus.UNAUTHORIZED.value(), HttpStatus.UNAUTHORIZED.getReasonPhrase());}public String getRealmName() {return this.realmName;}public void setRealmName(String realmName) {this.realmName = realmName;}
}可以看到，这个类的处理逻辑还是很简单的，响应头中添加WWW-Authenticate字段，然后发送错误响应码为401。
这里就是发出质询的代码。总结一下，就是一个未经认证的请求，在经过Spring Security过滤器链时会抛出异常，该异常会在ExceptionTranslationFilter过滤器链中调用BasicAuthenticationEntryPoint的commence方法中进行处理。
请求分析
HttpBasicConfigurer类中的configure方法中，向Spring Security过滤器链中添加一个过滤器BasicAuthenticationFilter，改过滤器专门来处理HTTP基本认证相关的事情，我们来看一下它的核心方法doFilterInternal：
@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)throws IOException, ServletException {try {UsernamePasswordAuthenticationToken authRequest = this.authenticationConverter.convert(request);if (authRequest == null) {this.logger.trace("Did not process authentication request since failed to find "+ "username and password in Basic Authorization header");chain.doFilter(request, response);return;}String username = authRequest.getName();this.logger.trace(LogMessage.format("Found username '%s' in Basic Authorization header", username));if (authenticationIsRequired(username)) {Authentication authResult = this.authenticationManager.authenticate(authRequest);SecurityContext context = SecurityContextHolder.createEmptyContext();context.setAuthentication(authResult);SecurityContextHolder.setContext(context);if (this.logger.isDebugEnabled()) {this.logger.debug(LogMessage.format("Set SecurityContextHolder to %s", authResult));}this.rememberMeServices.loginSuccess(request, response, authResult);this.securityContextRepository.saveContext(context, request, response);onSuccessfulAuthentication(request, response, authResult);}}catch (AuthenticationException ex) {SecurityContextHolder.clearContext();this.logger.debug("Failed to process authentication request", ex);this.rememberMeServices.loginFail(request, response);onUnsuccessfulAuthentication(request, response, ex);if (this.ignoreFailure) {chain.doFilter(request, response);}else {this.authenticationEntryPoint.commence(request, response, ex);}return;}chain.doFilter(request, response);}该方法执行流程如下：
- 首先调用authenticationConverter的convert方法从请求头中的Authorization字段进行解析，经过Base64解码之后的用户名和密码是一个用 ":" 隔开的字符串，例如用户使用tianluhua/123进行登录，那么这里解码后得到的字符串就是tianluhua:123,然后根据用户名和密码构造一个UsernamePasswordAuthenticationToken对象出来。
- authRequest 为null，说明请求头中没有包含Http基本认证的信息，改方法到此为止。那么接下来执行其他的过滤器即可。
- 从authRequest对象中提取出用户名，然后调用authenticationIsRequired方法判断是否有必要进行认证，如果没必要认证就执行下面的过滤器。
- 如果有必要认证，就调用authenticationManager的authenticate方法完成用户认证，同时将信息存入SecurityContextHolder中；如果配合了rememberMeServices，也行进相应的处理，最后回调一个onSuccessfulAuthentication方法，不过改方法没有做任何实现。
- 如果认证过程中抛出异常，则进行相应的处理即可
- 最后执行接下来的过滤器。在后续的过滤器中执行的过程中，由于SecurityContextHolder中已经保存了登录用户的信息了，相当于用户已经完成了登录了，因此就和普通的请求一样，不会被“半路拦截”。