Springsecurity的版本差异

Springsecurity的版本差异

Spring Security OAuth

最新版本：2.5.1.RELEASE（已停⽌维护）

The 2.4.0 release officially deprecates all classes. The latest OAuth 2.0 support is provided by Spring Security.

Spring Security OAuth 2.4.0 正式弃⽤其所有类 See the for further details.

其中很多⽅法都已经被标注@Deprecated

The Spring Security OAuth project is deprecated. The latest OAuth 2.0 support is provided by Spring Security. See the for

further details.

This document contains guidance for moving OAuth 2.0 Clients and Resource Servers from Spring Security OAuth 2.x to Spring

Security 5.2.x. Since Spring Security doesn’t provide Authorization Server support, migrating a Spring Security OAuth

Authorization Server is out of scope for this document.

org.springframework.security.oauth

spring-security-oauth2

2.3.8.RELEASE

Spring Cloud Security

最新版本：2.2.5.RELEASE (引⼊该包需要指定其版本)

springsecurity认证流程

Spring Security是一个基于Spring框架的安全框架，提供了一套完整的认证（Authentication）和授权（Authorization）解决方案。它能够帮助我们轻松地实现用户认证、用户授权以及其他安全相关的功能。

Spring Security的认证流程可以分为以下几个步骤：

1.用户发送登录请求：用户在浏览器中输入用户名和密码，并点击登录按钮。这个请求会发送到服务器端。

2. 过滤器链处理请求：请求到达服务器端后，会经过一系列的过滤器链进行处理。Spring Security提供了一些过滤器，用于处理认证和授权相关的任务。

3. 调用AuthenticationManager.authenticate(方法：在过滤器链的处理过程中，最终会调用AuthenticationManager.authenticate(方法来进行身份认证。AuthenticationManager是Spring Security用于处理身份认证的核心接口。

4. 调用AuthenticationProvider进行身份认证：AuthenticationManager会委托给一个或多个AuthenticationProvider来进行身份认证。AuthenticationProvider是Spring Security中用于处理身份认证的实际实现类，可以根据自己的需求选择适合的实现类，例如DaoAuthenticationProvider。

5. 加载用户信息：AuthenticationProvider在进行身份认证之前，首先需要加载用户的信息。具体的加载方式可以根据实际需求来选择，例如从数据库中加载用户信息。 6. 对比密码：AuthenticationProvider在加载用户信息后，会将输入的密码与数据库中存储的密码进行对比。如果密码匹配成功，则认证通过。

springsecurity认证机制的InvalidCSRFToken问题

spring security在集成spring boot的微服务框架后，进⾏了cas认证和权限控制。但是在请求过程中，发现了⼀个问题

1.关于错误

错误指出，请求中出现了不可⽤的CSRF令牌。

查阅资料后发现这是⼀个RESTful技术与CSRF(Cross-site request forgery跨站请求伪造)的冲突造成的，CSRF默认⽀持的⽅法：GET|HEAD|TRACE|OPTIONS，不⽀持POST。

传统的session id容易被第三⽅窃取攻击，spring security4.0版本之后，引⼊了CSRF的概念。spring security为了正确的区别合法的post请求，采⽤了token的机制。过程⼤致为get请求会从服务器端拿到⼀个token,这个token被拿来当做header参数通过post请求传递⾄服务器。

服务器通过区分这个token值是否合法来判定是否是正常的post请求（⽽⾮第三⽅攻击）。

2.解决

spring Security 3默认关闭csrf，Spring Security 4默认启动了csrf。

开发环境⼿动关闭csrf@Override

protected void configure(HttpSecurity http) throws Exception {

//访问控制内容。。。。。

http .csrf().disable();

}

详解SpringSecurity认证流程

前⾔

Spring Seuciry相关的内容看了实在是太多了，但总觉得还是理解地不够巩固，还是需要靠知识输出做巩固。

相关版本：

java: jdk 8

spring-boot: 2.1.6.RELEASE 过滤器链和认证过程

⼀个认证过程，其实就是过滤器链上的⼀个绿⾊矩形Filter所要执⾏的过程。

基本的认证过程有三步骤：

1. Filter拦截请求，⽣成⼀个未认证的Authentication，交由AuthenticationManager进⾏认证；

2. AuthenticationManager的默认实现ProviderManager会通过AuthenticationProvider对Authentication进⾏认证，其本⾝不做认证处理；

3. 如果认证通过，则创建⼀个认证通过的Authentication返回；否则抛出异常，以表⽰认证不通过。

要理解这个过程，可以从类UsernamePasswordAuthenticationFilter，ProviderManager，DaoAuthenticationProvider和InMemoryUserDetailsManager（UserDetailsService实现类，

由UserDetailsServiceAutoConfiguration默认配置提供）进⾏了解。只要创建⼀个含有spring-boot-starter-security的springboot项⽬，在适当地打上断点接⼝看到这个流程。⽤认证部门进⾏讲解

)

请求到前台之后，负责该请求的前台会将请求的内容封装为⼀个Authentication对象交给认证管理部门，认证管理部门仅管理认证部门，不做具体的认证操作，具体的操作由与

该前台相关的认证部门进⾏处理。当然，每个认证部门需要判断Authentication是否为该部门负责，是则由该部门负责处理，否则交给下⼀个部门处理。认证部门认证成功之