Spring Security如何添加/配置AuthenticationManagerBuilder？

Question

我正在研究基于Spring SecurityJava配置。

我已经创建了自己的身份验证提供者（MyAuthenticationProvider），我想在ProviderManager中注册它（AuthenticationManager的单个实例）。

我发现ProviderManager有一个提供者列表，我可以向其中注册我的单个身份验证提供者。

以下是我的配置部分：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(MyAuthenticationProvider);
    }
}

我发现AuthenticationManagerBuilder有父母身份验证管理器、defaultUserDetailsService和许多其他字段。

我的问题是：

>

configureGlobal方法的名称并不重要。但是，重要的是仅在使用@EnableWebSecurity、@EnableWebMvcSecurity、@EnableGlobalMethod odSecurity或@EnableGlobalAuthentication注释的类中配置AuthenticationManagerBuilder。否则会产生不可预测的结果。

Answer 1

3的答案：

是的。AuthenticationManagerBuilder的代码添加了您的提供商：

public AuthenticationManagerBuilder authenticationProvider(AuthenticationProvider authenticationProvider) {
    this.authenticationProviders.add(authenticationProvider);
    return this;
}

4的答案很简单：

这意味着，一旦有了其中一个注释，就可以根据需要命名方法：

@Configuration
@EnableWebSecurity  //or @EnableWebMvcSecurity or @EnableGlobalMethodSecurity....
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    public void myCoolMethodName(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(MyAuthenticationProvider);
    }
}

“否则会产生不可预测的结果”

如果保留名称而不保留注释，则可能无法正常工作。

Answer 2

启用Web安全（EnableWebSecurity）由启用全局身份验证（EnableGlobalAuthentication）进行元注释

...
@EnableGlobalAuthentication
@Configuration
public @interface EnableWebSecurity {
...

和EnableGlobalAuthentication导入AuthenticationConfiguration：

...
@Import(AuthenticationConfiguration.class)
@Configuration
public @interface EnableGlobalAuthentication {
}

在AuthenticationConfiguration中，您将看到声明了一个AuthenticationManagerBuilder bean：

...
@Bean
public AuthenticationManagerBuilder authenticationManagerBuilder(
        ObjectPostProcessor<Object> objectPostProcessor, ApplicationContext context) {
    ...
}

当您在Autowire上安装AuthenticationManagerBuilder时，您将得到一个。您可以使用多种方法轻松配置内存、jdbc、ldap等，。。。身份验证。

背景：

Spring Security Java配置通过几个阶段将您的配置与ApplicationContext无缝结合。这两者结合在一起的一个地方是WebSecurityConfigurerAdapter中的getHttp（）方法。

例如，这是一段摘录：

AuthenticationManager authenticationManager = authenticationManager();

authenticationBuilder.parentAuthenticationManager(authenticationManager);

为了让您了解配置顺序的“不简单”，上面的authenticationManager变量将是：

• 您通过覆盖配置（AuthenticationManagerBuilder auth）添加的身份验证管理器

默认情况下，我的意思是会有一些[…]authenticationProviders已在AuthenticationManagerBuilder中注册

如果查看AuthenticationConfiguration，您将看到默认情况下，InitializeUserDetailsBeanManagerConfiguration应用于AuthenticationManagerBuilder bean。只要它在上下文中找到一个UserDetailsService bean，并且没有添加其他提供者，它就会添加一个DaoAuthenticationProvider。这就是为什么在Spring Security参考中，只提供@Bean用户详细信息服务（UserDetailsService）就足够了。

但是，一旦您添加了身份验证提供程序，则不会注册“默认”提供程序。