Spring Security身份验证提供程序autenticate（）返回null的原因

Question

最近，我在研究Spring security的身份验证提供商。

在身份验证（）方法中，文档说，“如果身份验证提供者无法支持对传递的身份验证对象的身份验证，可能会返回null。在这种情况下，将尝试下一个支持呈现的身份验证类的身份验证提供者。”

我们还有另一个方法supports（），它指示此提供程序是否支持身份验证类型。

据我所知，“AuthenticationManager”首先调用support（）来检查提供者是否支持这种类型。然后调用身份验证（）方法。所以，根据我的理解，只有在提供者支持它时才调用身份验证。

所以，我的问题是“如果提供程序支持这种类型的身份验证，那么为什么它应该从身份验证（）返回null？”为什么文档会说“如果AuthenticationProvider无法支持对传递的身份验证对象的身份验证，那么它可能会返回null”？？它是否应该始终支持它？（因为我们通过supports（）检查了它的兼容性。）

你能举个例子说明提供者需要返回null吗？

提前感谢。

Answer 1

引用Laurentiu Spilca的《Spring安全行动》

AuthentiationProvider接口中的第二种方法是支持-（Class

我认为这一类比可以澄清问题。

身份验证管理器和身份验证提供程序如何协同工作来验证或使身份验证请求无效的一个类比是，您的门有一个更复杂的锁。你可以用卡片或老式的物理钥匙打开这把锁。锁本身是决定是否开门的身份验证管理器。为了做出这个决定，它将授权给两个身份验证提供者：一个知道如何验证卡，另一个知道如何验证物理密钥。如果你出示一张卡片开门，只使用物理密钥的身份验证提供商会抱怨说，它不知道这种身份验证。但另一个提供商支持这种身份验证，并验证该卡是否对该门有效。这实际上就是supports（）方法的目的。除了测试身份验证类型，Spring Security还增加了一层灵活性。门锁可以识别多种卡片。在这种情况下，当您出示一张卡时，其中一个身份验证提供商可能会说：“我理解这是一张卡。但这不是我可以验证的卡的类型！”当supports（）返回true，但authenticate（）返回null时，就会发生这种情况。