Spring Security身份验证和用户界面

Question

根据Spring Security，如果身份验证由外部身份验证提供者完成，则使用身份验证提供者。认证后，Spring Security将获得封装用户信息的认证对象。

如果Spring Security框架进行身份验证，则用户信息被封装在User接口的实例中（例如作为默认实现的User细节类）。

我的问题是——为什么Spring Security框架不能使用一致的方法？为什么他们不能在所有情况下使用UserDetails而不是身份验证对象？有什么原因吗？

Answer 1

根据Spring留档

public interface Authentication extends Principal, Serializable

表示身份验证请求或身份验证主体在AuthenticationManager处理该请求后的令牌。验证（Authentication）方法。一旦请求经过身份验证，身份验证通常会存储在一个线程本地SecurityContext中，该线程由SecurityContextHolder通过正在使用的身份验证机制管理。通过创建身份验证实例并使用以下代码，无需使用Spring Security的身份验证机制，即可实现显式身份验证：

 SecurityContextHolder.getContext().setAuthentication(anAuthentication);

有关更多详细信息，请参阅https://docs.spring.io/spring-security/site/docs/4.2.15.RELEASE/apidocs/org/springframework/security/core/Authentication.html

说明：

仅当用户使用有效凭据进行身份验证时，身份验证对象才会设置为本地安全上下文。它是一种象征。其中，就用户详细信息而言，我们无法知道用户是否经过身份验证。

您也可以将其视为单一责任原则，其中用户详细信息类的责任是管理用户详细信息，身份验证责任是处理真实性。