springsecurity密码验证原理概括

前言

在使用springsecurity的时候，对于账户密码的验证逻辑并没有让我们自己个儿写，那么它到底是怎么进行验证的呢。为了一探究竟，我们只有从springsecurity的过滤链开始。而springsecurity进行登录操作验证密码时需要进入UsernamePasswordAuthenticationFilter 这一过滤器。故从这里开始。

1.UsernamePasswordAuthenticationFilter

从UsernamePasswordAuthenticationFilter断点进入，此处的返回值是一个方法 getAuthenticationManager().authenticate(authRequest) 的返回值，而传入的参数正是在表单中输入的账户密码进行封装之后的结果，主要进入authentication(authRequest)中进行探索。

2.ProviderManager

进入getAuthenticationManager().authenticate(authRequest)方法，发现它是在ProviderManager中实现的方法，其返回值是result，接下来就需要查看result是咋个来的。不难发现，又需要进入另一个方法provider.authenticate(authentication)，记住此时的authentication是封装的输入的账户密码，那么接下来再次进入这个刚发现的方法。

3.AbstractUserDetailsAuthenticationProvider

进入provider.authenticate(authentication)方法后发现我们到了AbstractUserDetailsAuthenticationProvider类，而这个方法的返回值需要需要依赖user，要获取这个user，咱又不得不进入retrieveUser(username, (UsernamePasswordAuthenticationToken) authentication) 这个方法。在得到这个user之后才能进行下一步。

4.DaoAuthenticationProvider

这次我们进入了DaoAuthenticationProvider类，观察该方法的返回值，发现了熟悉的loadUserByUsername(username) 方法，进入其中，豁然开朗。

5.UserDetailsServiceImpl

这正是咱自定义的userservice实现类，而其返回值就是从数据库查出来的用户名和密码。接下来原路返回

6.DaoAuthenticationProvider

回到第三步，此时我们已经获取了其中的user，接下来就是进行密码验证了，进入additionalAuthenticationChecks(user, (UsernamePasswordAuthenticationToken) authentication) 即验证数据库与输入信息是否相符。