Spring Security 实战干货：用户是如何进行登录认证的

1. 前言

我们上一篇介绍了UsernamePasswordAuthenticationFilter的工作流程，留下了一个小小的伏笔，作为一个Servlet Filter应该存在一个doFilter实现方法，而它却没有，其实它的父类AbstractAuthenticationProcessingFilter提供了具体的实现。稍后我们会根据这个实现引出今天的主角AuthenticationManager，来继续介绍用户的认证过程。

2. AbstractAuthenticationProcessingFilter

AbstractAuthenticationProcessingFilter作为UsernamePasswordAuthenticationFilter的父类，实现了认证过滤器的处理逻辑。我们来看看它的核心方法doFilter的实现：

       public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
             throws IOException, ServletException {
          HttpServletRequest request = (HttpServletRequest) req;
          HttpServletResponse response = (HttpServletResponse) res;
           // 先通过请求的uri来判断是否需要认证,比如默认的/login
          if (!requiresAuthentication(request, response)) {
             chain.doFilter(request, response);
             return;
          }
          if (logger.isDebugEnabled()) {
             logger.debug("Request is to process authentication");
          }
          Authentication authResult;
          try {
              // 接着就是执行子类钩子方法attemptAuthentication来获取认证结果对象Authentication ，这个对象不能是空 否则直接返回
             authResult = attemptAuthentication(request, response);
             if (authResult == null) {
                // return immediately as subclass has indicated that it hasn't completed
                // authentication
                return;
             }
              // 处理session 策略，这里默认没有任何策略
             sessionStrategy.onAuthentication(authResult, request, response);
          }
          catch (InternalAuthenticationServiceException failed) {
             logger.error(
                   "An internal error occurred while trying to authenticate the user.",
                   failed);
              // 如果遇到异常 就会交给认证失败处理器 AuthenticationFailureHandler 来处理
             unsuccessfulAuthentication(request, response, failed);
             return;
          }
          catch (AuthenticationException failed) {
             // Authentication failed
             unsuccessfulAuthentication(request, response, failed);
             return;
          }
          //  认证成功后继续其它过滤器链 并最终交给认证成功处理器 AuthenticationSuccessHandler 处理
          if (continueChainBeforeSuccessfulAuthentication) {
             chain.doFilter(request, response);
          }
          successfulAuthentication(request, response, chain, authResult);
       }
   
  

   
  
  

大部分逻辑这里是清晰的，关键在于attemptAuthentication方法，这个我们已经在上一文分析了是通过AuthenticationManager的authenticate方法进行认证逻辑的处理，接下来我们将重点分析这个接口来帮助我们了解Spring Seucirty的认证过程。

3. AuthenticationManager

AuthenticationManager这个接口方法非常奇特，入参和返回值的类型都是Authentication。该接口的作用是对用户的未授信凭据进行认证，认证通过则返回授信状态的凭据，否则将抛出认证异常AuthenticationException。

3.1 AuthenticationManager 的初始化流程

那么AbstractAuthenticationProcessingFilter中的 AuthenticationManager 是在哪里配置的呢？看过Spring Security 实战干货系列应该知道WebSecurityConfigurerAdapter中的void configure(AuthenticationManagerBuilder auth)是配置AuthenticationManager 的地方， 我根据源码总结了一下AuthenticationManager 的初始化流程，相信可以帮助你去阅读相关的源码：