spring-boot - 在 Spring Security 中使用 HttpSecurity 和 AuthenticationManagerBuilder 注册身份验证提供程序有什么区别？

Question

WebSecurityConfigurerAdapter 提供两个覆盖如下:
protected void configure(AuthenticationManagerBuilder auth)
和
protected void configure(HttpSecurity http)
两者 HttpSecurity和 AuthenticationManagerBuilder为 authenticationProviders 提供注册。将我的提供者注册到一个和另一个之间有什么区别吗？

我还在 @SpringBootApplication(exclude = SecurityAutoConfiguration.class) 中使用 Spring boot 2.1完全关闭他们的自动配置。

Answer 1

来自 Spring Security Architecture

The main strategy interface for authentication is AuthenticationManager [...]

The most commonly used implementation of AuthenticationManager is ProviderManager, which delegates to a chain of AuthenticationProvider instances. An AuthenticationProvider is a bit like an AuthenticationManager [...]

A ProviderManager can support multiple different authentication mechanisms in the same application by delegating to a chain of AuthenticationProviders. If a ProviderManager doesn’t recognise a particular Authentication instance type it will be skipped.

A ProviderManager has an optional parent, which it can consult if all providers return null. If the parent is not available then a null Authentication results in an AuthenticationException.

一般而言 WebSecurityConfigurerAdapter为 HttpSecurity 提供配置除了 Filter的配置(如 UsernamePasswordAuthenticationFilter 、 LogoutFilter 等)，它还创建和配置(添加 AuthenticationProvider s 和父级 AuthenticationManager ) AuthenticationManager s 在 HttpSecurity通过使用 AuthenticationManagerBuilder .
WebSecurityConfigurerAdapter将只创建一个 AuthenticationManager为 HttpSecurity .然而 AuthenticationManager有自己的 AuthenticationProviders和它自己的可选父级 AuthenticationProvider .当你在做 http.authenticationProvider(...)您正在添加新 AuthenticationProvider到 AuthenticationManager属于那个 http .通过使用 configure(AuthenticationManagerBuilder auth)您正在配置 AuthenticationManager这是 AuthenticationManager 的父级属于那个特定的 HttpSecurity .

Spring 为该特定 AuthenticationManager 的父级提供默认配置，但通过使用 configure(AuthenticationManagerBuilder auth)您正在拒绝 spring 的配置以支持您的(身份验证)。