Java/Spring/SpringSecurity の履歴(No.7)

ポイント†

SpringSecurityがクラスパスに入っているとエントリポイントに@EnableWebSecurityを付与せずとも、デフォルトでアプリケーションに自動的にSpring Securityが有効になり、
デフォルトではBASIC認証。すべてのパスにisAuthenticated()の認可がかかります。
それをFORM認証だったり、OAuth2認証だったりに切り替えることができる

Security Principal	主体のことでセキュリティ文脈においては認証ユーザー
Authentication	認証
Authorization or Access Control	認可
UserDietailService	ユーザーの検索とPW認証を行うクラス

ProviderManagerを利用するとfilterのように多彩な認証方式に対応できる。

attemptAuthenticationでユーザー情報をRequestやReponseからセットするが、実は認証はAuthenticationManagerに移譲しており、ここでは認証していないという。prepareAuthenticationが正しいメソッド名。

OAuth2の認証

一番シンプルにフォームのID/PWで認証する形式。UsernamePasswordAuthenticationTokenにID/PWを格納してAuthenticationManagerに処理は移譲する。

AbstractAuthenticationTokenのサブクラスの一つUsernamePasswordAuthenticationTokenで、このTokenのタイプごとに認証方式を切り替えることができる。

Cookieにより長期間ログインをさせたい場合に使うfilter

割と古いがシンプル。ただしslake

こちらの方が2.0系でgithub

OAuth2.0で必要な固有接続情報はclient-idとsecretのみ。あとはサイトで一定。

認証のフローとカスタマイズ

ユーザーはuserでパスワードはコンソール起動時に毎回変わるので実用性はない！

Using generated security password: 54847ad0-58da-4aa8-bb2b-40b4211e81ad