概述

Spring Security 中默认用户名密码登录是一个非常核心的安全流程，理解它对于自定义和扩展 Spring Security 至关重要。
整个认证流程可以比作一个精密的安检系统，涉及多个组件协同工作。我们将按照请求的处理顺序，逐一解析每个关键组件的角色和逻辑。

核心组件

1. UsernamePasswordAuthenticationFilter: 前端的“安检员”，负责拦截登录请求并提取凭证。
2. FormLoginConfigurer: 系统的“配置蓝图”，负责创建和配置上述过滤器及相关组件。
3. DaoAuthenticationProvider: 核心的“身份验证官”，负责实际的用户名密码校验和权限加载。
4. UserDetailsService & PasswordEncoder: “数据库管理员”和“加密专家”，为验证官提供数据支持和加密比对能力。
5. AuthenticationManager: “安检总管”，协调整个认证流程。
6. SecurityContextHolder: “临时通行证存放处”，存储认证成功后的结果。

详细流程解析

第 1 步：请求拦截与凭证提取 - UsernamePasswordAuthenticationFilter

这是整个流程的入口。

• 作用：它是一个 Filter，被添加到 Spring Security 的过滤器链中。它的核心任务是监视特定的 URL（默认为 /login），并从中提取用户名和密码。
• 工作逻辑：
  • 匹配请求：过滤器检查当前请求是否是指向其配置的登录处理 URL（如 /login）的 POST 请求。如果不是，则直接放行。
  • 提取凭证：如果是登录请求，它会从请求参数中获取用户名和密码。默认的参数名是 username 和 password。你可以通过 FormLoginConfigurer.usernameParameter() 和 passwordParameter() 方法自定义。
  • 创建认证令牌：它使用提取到的用户名和密码创建一个未认证的 UsernamePasswordAuthenticationToken 对象。此时，这个 Token 的 authenticated 属性为 false，authorities（权限）集合为空。
  • 委托认证：最关键的一步，它将这个 Token 交给 AuthenticationManager 进行处理。

第 2 步：认证管理与委派 - AuthenticationManager & ProviderManager

AuthenticationManager 是一个接口，其最常用的实现是 ProviderManager。

• 作用：它是认证流程的总协调者。它本身不进行具体的认证工作，而是遍历其内部配置的一系列 AuthenticationProvider，并委托它们进行认证。
• 工作逻辑：
  • ProviderManager 接收到 UsernamePasswordAuthenticationFilter 传来的 UsernamePasswordAuthenticationToken。
  • 它遍历自己管理的 AuthenticationProvider 列表（默认包含一个 DaoAuthenticationProvider）。
  • 对于每个 Provider，它调用 provider.supports(authenticationToken) 方法检查该 Provider 是否支持处理这种类型的 Token。
  • DaoAuthenticationProvider 会返回 true（因为它支持 UsernamePasswordAuthenticationToken）。
  • 于是，ProviderManager 将认证工作正式委托给 DaoAuthenticationProvider.authenticate(authenticationToken) 方法。

第 3 步：核心认证与权限加载 - DaoAuthenticationProvider

这是进行实际用户名密码校验和权限赋予的核心组件。

• 作用：它通过 UserDetailsService 加载用户详细信息，并使用 PasswordEncoder 比对密码，最终构建一个已认证的 Authentication 对象。
• 工作逻辑：
  • 检索用户：调用其内部的 UserDetailsService 的 loadUserByUsername(username) 方法。如果找不到用户，会抛出 UsernameNotFoundException，认证失败。
  • 密码比对：获取到 UserDetails（包含数据库中存储的加密密码）后，使用 PasswordEncoder.matches(rawPassword, encodedPassword) 方法比对用户输入的原始密码和数据库中的加密密码。如果密码不匹配，抛出 BadCredentialsException，认证失败。
  • 状态检查（可选）：检查用户账户是否被锁定、是否过期、是否禁用等（UserDetails 中的方法如 isAccountNonLocked()）。如果状态异常，抛出相应的 AuthenticationException，认证失败。
  • 创建成功令牌：如果所有检查都通过，DaoAuthenticationProvider 会创建一个新的 UsernamePasswordAuthenticationToken，这个 Token 的 authenticated 属性被设置为 true，并且其 principal 设置为 UserDetails 对象，credentials 通常被清除（设为 null 以提高安全性），同时将 UserDetails 中的权限集合getAuthorities()设置到 Token 中。
  • 返回结果：将这个已认证的 Token 返回给 ProviderManager，ProviderManager 再将其返回给 UsernamePasswordAuthenticationFilter。

第 4 步：认证成功后的处理

UsernamePasswordAuthenticationFilter 接收到 AuthenticationManager 返回的已认证 Token 后：

• 存储上下文：最重要的操作！它将这个已认证的 Authentication 对象放入 SecurityContextHolder 中。SecurityContextHolder 默认使用 ThreadLocal 策略，意味着这个认证信息在当前请求的整个生命周期中都是可用的。这是后续进行授权（如 @PreAuthorize）的基础。
• 事件发布：发布一个 InteractiveAuthenticationSuccessEvent 事件，允许其他监听器做一些后续处理（如审计日志）。
• 重定向：默认情况下，将用户重定向到之前访问的受保护页面（由 RequestCache 保存）或者一个默认的成功页面（如 /）。你可以通过 FormLoginConfigurer.defaultSuccessUrl() 自定义。

第 5 步：配置的源头 - FormLoginConfigurer

以上所有组件的创建和组装，都是由 FormLoginConfigurer 完成的。当你调用 http.formLogin() 时，就在启用这个配置器。

• 作用：它是一个 HttpSecurity 的配置器，负责初始化、配置和添加表单登录所需的各种组件到 Spring Security 的上下文中。
• 关键配置方法：
  • loginPage(): 自定义登录页面 URL。
  • loginProcessingUrl(): 自定义处理登录请求的 URL（默认为 /login）。
  • usernameParameter()/passwordParameter(): 自定义表单中用户名和密码的参数名。
  • defaultSuccessUrl()/successHandler(): 配置认证成功后的处理逻辑。
  • failureUrl()/failureHandler(): 配置认证失败后的处理逻辑。
  • permitAll(): 确保登录页面和相关资源对所有用户开放。
• 初始化逻辑（在 init 方法中）：
  • 创建 UsernamePasswordAuthenticationFilter。
  • 创建 DaoAuthenticationProvider，并为其设置 UserDetailsService 和 PasswordEncoder。
  • 将 DaoAuthenticationProvider 添加到 AuthenticationManager（ProviderManager）中。
  • 将 UsernamePasswordAuthenticationFilter 添加到过滤器链中，并设置其 AuthenticationManager 和 AuthenticationSuccessHandler/AuthenticationFailureHandler。

组件关系图

关键配置与自定义

要使默认登录工作，你必须提供以下 Bean：

1. UserDetailsService (必须):

@Bean
public UserDetailsService userDetailsService() {
    // 内存中的用户，实际应从数据库加载
    UserDetails user = User.withUsername("user")
            .password(passwordEncoder().encode("password"))
            .roles("USER")
            .build();
    return new InMemoryUserDetailsManager(user);
}

2. PasswordEncoder (必须):

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

总结

Spring Security 的默认用户名密码登录是一个高度解耦、可扩展、使用责任链模式的流程。理解这个流程后，你就可以轻松地通过替换或自定义其中任何一个组件（如自定义 Filter、Provider、UserDetailsService 或 PasswordEncoder）来实现复杂的登录需求，例如集成 OAuth2、JWT、短信验证码登录等。