核心组件之SecurityContextHolder

作用:保留系统当前的安全上下文细节,其中就包括当前使用系统的用户的信息。
 
上下文细节怎么表示?
    用SecurityContext对象来表示
 
每个用户都会有它的上下文,那这个SecurityContext保存在哪里呢?
存储在一个SecurityContextHolder中,整个应用就一个SecurityContextHolder。
 
SecurityContextHolder存储SecurityContext的方式?
这要考虑到应用场景
(1)单机系统,即应用从开启到关闭的整个生命周期只有一个用户在使用。由于整个应用只需要保存一个SecurityContext(安全上下文即可)
(2)多用户系统,比如典型的Web系统,整个生命周期可能同时有多个用户在使用。这时候应用需要保存多个SecurityContext(安全上下文),需要利用ThreadLocal进行保存,每个线程都可以利用ThreadLocal获取其自己的SecurityContext,及安全上下文。
 
源码分析:
SecurityContextHolder结构

 

SecurityContextHolder.java(部分源码)

 

由源码可知,SecurityContextHolder利用了一个SecurityContextHolderStrategy(存储策略)进行上下文的存储。我们来看看SecurityContestHolderStrategy,到底是什么
 

 

SecurityContestHolderStrategy.java(全部源码)

 


 

可知 SecurityContestHolderStrategy只是一个接口,这个接口提供创建、清空、获取、设置上下文的操作。那它有哪些实现类呢,也就是有哪些存储策略呢?
 
GlobalSecurityContextHolderStrategy.java(全部源码)
全局的上下文存取策略,只存储一个上下文,对应前面说的单机系统。
 

 

ThreadLocalSecurityContextHolderStrategy.java(全部源码)

 

基于ThreadLocal的存储策略实现,看上去,这个类好像跟上面那个全局的没什么差别。但是要注意了,它是用ThreadLocal来存储的。新手可能会疑惑,就一个变量,我怎么存储多个上下文,这个变量又不是集合。
这里就不分析源码了,实际上ThreadLocal内部会用数组来存储多个对象的。原理是,ThreadLocal会为每个线程开辟一个存储区域,来存储相应的对象。
 
Authentication——用户信息的表示:
    在SecurityContextHolder中存储了当前与系统交互的用户的信息。Spring Security使用一个Authentication 对象来表示这些信息。一般不需要自己创建这个对象,但是查找这个对象的操作对用户来说却非常常见。

 

批注:
    ①Principal(准则)=> 允许通过的规则,即允许访问的规则,基本等价于UserDetails(用户信息)
 
源码分析:
我们来看看,这个SecurityContext(安全上下文),到底是个什么样子。
SecurityContext.java(全部源码)

 

由源码可知,所谓的安全上下文,只是保存了Authentication(认证信息)。那认证信息包含哪些内容呢?
 
Authentication.java(全部源码)

 

由源码可知,Authentication(认证信息),主要包含了以下内容
  • 用户权限集合 => 可用于访问受保护资源时的权限验证
  • 用户证书(密码) => 初次认证的时候,进行填充,认证成功后将被清空
  • 细节 => 暂不清楚,猜测应该是记录哪些保护资源已经验证授权,下次不用再验证,等等。
  • Pirncipal => 大概就是账号吧
  • 是否已认证成功
 
 
posted @ 2018-08-04 11:02  猫毛·波拿巴  阅读(19641)  评论(1编辑  收藏