spring-security原始碼下載地址：

https://github.com/spring-projects/spring-security

Spring-Security原始碼解讀：

1.使用ctrl+shift+n組合鍵查詢UsernamePasswordAuthenticationFilter過濾器，該過濾器是用來處理使用者認證邏輯的，進入後如圖：

(1)可以看到它預設的登入請求url是"/login"，並且只允許POST方式的請求

(2)obtainUsername()方法點進去發現它預設是根據引數名為"username"和"password"來獲取使用者名稱和密碼的

(3)通過構造方法例項化一個UsernamePasswordAuthenticationToken物件，此時呼叫的是UsernamePasswordAuthenticationToken的兩個引數的建構函式,如圖：

其中super(null)呼叫的是父類的構造方法，傳入的是許可權集合，因為目前還沒有認證通過，所以不知道有什麼許可權資訊，這裡設定為null,然後將使用者名稱和密碼分別賦值給principal和credentials，同樣因為此時還未進行身份認證，所以setAuthenticated(false)

(4)setDetails(request, authRequest)是將當前的請求資訊設定到UsernamePasswordAuthenticationToken中

(5)通過呼叫getAuthenticationManager()來獲取AuthenticationManager，通過呼叫它的authenticate方法來查詢支援該token(UsernamePasswordAuthenticationToken)認證方式的provider，然後呼叫該provider的authenticate方法進行認證

2.AuthenticationManager是用來管理AuthenticationProvider的介面，通過查詢後進入，然後使用ctrl+H組合鍵檢視它的繼承關係，找到ProviderManager實現類，它實現了AuthenticationManager介面，檢視它的authenticate方法，它裡面有段這樣的程式碼：

for (AuthenticationProvider provider : getProviders()) {
        if (!provider.supports(toTest)) {
            continue;
        }
    ...
    try {
            result = provider.authenticate(authentication);
    ...
    }
}
 

通過for迴圈遍歷AuthenticationProvider物件的集合，找到支援當前認證方式的AuthenticationProvider，找到之後呼叫該AuthenticationProvider的authenticate方法進行認證處理：

result = provider.authenticate(authentication);

3.AuthenticationProvider介面，就是進行身份認證的介面，它裡面有兩個方法：authenticate認證方法和supports是否支援某種型別token的方法，通過ctrl+h檢視繼承關係，找到AbstractUserDetailsAuthenticationProvider抽象類，它實現了AuthenticationProvider介面，它的supports方法如下：

    public boolean supports(Class<?> authentication) {
        return (UsernamePasswordAuthenticationToken.class
            .isAssignableFrom(authentication));
        }

說明它是支援UsernamePasswordAuthenticationToken型別的AuthenticationProvider

再看它的authenticate認證方法，其中有一段這樣的程式碼：

boolean cacheWasUsed = true;
    UserDetails user = this.userCache.getUserFromCache(username);

    if (user == null) {
        cacheWasUsed = false;

        try {
            user = retrieveUser(username,
                    (UsernamePasswordAuthenticationToken) authentication);
        }
    ...
    }

如果從快取中沒有獲取到UserDetails，那麼它呼叫retrieveUser方法來獲取使用者資訊UserDetails，這裡的retrieveUser是抽象方法，等一會我們看它的子類實現。

使用者資訊UserDetails是個介面，我們進入檢視，它包含以下6個介面方法：

Collection<? extends GrantedAuthority> getAuthorities();//獲取許可權集合
String getPassword();  //獲取密碼
String getUsername();   //獲取使用者名稱
boolean isAccountNonExpired(); //賬戶未過期
boolean isAccountNonLocked();   //賬戶未鎖定
boolean isCredentialsNonExpired(); //密碼未過期
boolean isEnabled();    //賬戶可用

檢視它的繼承關係發現User類實現了該介面，並實現了該介面的所有方法

接著AbstractUserDetailsAuthenticationProvider往下看，找到下面的程式碼：

    preAuthenticationChecks.check(user);
    additionalAuthenticationChecks(user,
                (UsernamePasswordAuthenticationToken) authentication);

preAuthenticationChecks預檢查，在最下面的內部類DefaultPreAuthenticationChecks中可以看到，它會檢查上面提到的三個boolean方法，即檢查賬戶未鎖定、賬戶可用、賬戶未過期，如果上面的方法只要有一個返回false，就會丟擲異常，那麼認證就會失敗。

additionalAuthenticationChecks是附加檢查，是個抽象方法，等下看子類的具體實現。

下面還有個postAuthenticationChecks.check(user)後檢查，在最下面的DefaultPostAuthenticationChecks內部類中可以看到，它會檢查密碼未過期，如果為false就會丟擲異常

如果上面的檢查都通過並且沒有異常，表示認證通過，會呼叫下面的方法：

createSuccessAuthentication(principalToReturn, authentication, user);

跟進發現此時通過構造方法例項化物件UsernamePasswordAuthenticationToken時，呼叫的是三個引數的構造方法:

    public UsernamePasswordAuthenticationToken(Object principal, Object credentials,
        Collection<? extends GrantedAuthority> authorities) {
    super(authorities);
    this.principal = principal;
    this.credentials = credentials;
    super.setAuthenticated(true); // must use super, as we override
}

此時會呼叫父類的構造方法設定許可權資訊，並呼叫父類的setAuthenticated(true)方法，到這裡就表示認證通過了。

下面我們看看AbstractUserDetailsAuthenticationProvider的子類，同ctrl+h可檢視繼承關係，找到DaoAuthenticationProvider

4.DaoAuthenticationProvider類

(1)檢視additionalAuthenticationChecks附加檢查方法，它主要是檢查使用者密碼的正確性，如果密碼為空或者錯誤都會丟擲異常

(2)獲取使用者資訊UserDetails的retrieveUser方法，主要看下面這段程式碼：

UserDetails loadedUser = this.getUserDetailsService().loadUserByUsername(username);

它是呼叫了getUserDetailsService先獲取到UserDetailsService物件，通過呼叫UserDetailsService物件的loadUserByUsername方法獲取使用者資訊UserDetails

找到UserDetailsService，發現它是一個介面，檢視繼承關係，有很多實現，都是spring-security提供的實現類，並不滿足我們的需要，我們想自己制定獲取使用者資訊的邏輯，所以我們可以實現這個介面。比如從我們的資料庫中查詢使用者資訊

5.SecurityContextPersistenceFilter過濾器

那麼使用者認證成功之後，又是怎麼儲存認證資訊的呢，在下一次請求過來是如何判斷該使用者是否已經認證了呢？

請求進來時會經過SecurityContextPersistenceFilter過濾器，進入SecurityContextPersistenceFilter過濾器並找到以下程式碼：

SecurityContext contextBeforeChainExecution = repo.loadContext(holder);

從session中獲取SecurityContext物件，如果沒有就例項化一個SecurityContext物件

SecurityContextHolder.setContext(contextBeforeChainExecution);

將SecurityContext物件設定到SecurityContextHolder中

chain.doFilter(holder.getRequest(), holder.getResponse());

表示放行，執行下一個過濾器

執行完後面的過濾並經過servlet處理之後，響應給瀏覽器之前再次經過此過濾器。檢視以下程式碼：

SecurityContext contextAfterChainExecution = SecurityContextHolder.getContext();
SecurityContextHolder.clearContext();
this.repo.saveContext(contextAfterChainExecution, holder.getRequest(), holder.getResponse());

通過SecurityContextHolder獲取SecurityContext物件，然後清除SecurityContext，最後將獲取的SecurityContext物件放入session中

其中SecurityContextHolder是與ThreadLocal繫結的，即本執行緒內所有的方法都可以獲得SecurityContext物件，而SecurityContext物件中包含了Authentication物件，即使用者的認證資訊，spring-security判斷使用者是否認證主要是根據SecurityContext中的Authentication物件來判斷。Authentication物件的詳細資訊如圖：

最後整個過程的流程大致如下圖：