spring - spring security如何维护请求之间的认证信息？

Question

spring security 如何维护请求之间的身份验证信息？

它是使用与 jSessionId 类似的东西还是使用完全不同的机制。

此外，我看到 AbstractSecurityInterceptor (我的意思是，它的任何实现)负责拦截传入的请求并使用 Authentication.isAuthenticated() 验证请求是否已被授权，然后根据条件验证请求或发送对 AuthenticationManager 实现的身份验证请求。那么，换句话说，AbstractSecurityInterceptor 是如何区分第一个请求和后续请求的。

Answer 1

Spring Security 使用 SecurityContextRepository存储和检索当前安全 session 的 SecurityContext。

默认实现是 HttpSessionSecurityContextRepository它利用 javax.servlet.http.HttpSession 来存储/检索 SecurityContext。

底层 servlet 容器将为传入请求获取正确的 HttpSession，这通常是由于在 cookie 或请求参数中传递的 session 标识符。对于 Spring Security，这无关紧要，因为它已加载到底层 servlet 容器中。