【详解】Spring Security 之 SecurityContext

前言

　　本文主要整理一下SecurityContext的存储方式。

SecurityContext接口

顾名思义，安全上下文。即存储认证授权的相关信息，实际上就是存储"当前用户"账号信息和相关权限。这个接口只有两个方法，Authentication对象的getter、setter。

package org.springframework.security.core.context;

import java.io.Serializable;
import org.springframework.security.core.Authentication;

public interface SecurityContext extends Serializable {
    Authentication getAuthentication();

    void setAuthentication(Authentication var1);
}

Authentication接口又是干嘛的？

注意：SecurityContext存储的Authentication对象是经过认证的，所以它会带有权限，它的getAuthorities()方法会返回相关权限。

package org.springframework.security.core;

import java.io.Serializable;
import java.security.Principal;
import java.util.Collection;

public interface Authentication extends Principal, Serializable {
    Collection<? extends GrantedAuthority> getAuthorities();

    Object getCredentials();

    Object getDetails();

    Object getPrincipal();

    boolean isAuthenticated();

    void setAuthenticated(boolean var1) throws IllegalArgumentException;
}

SecurityContextHolder工具类

前面说的"当前用户"实际上指的是当前这个请求所对应的用户，那么怎么知道当前用户是谁呢？由于一个请求从开始到结束都由一个线程处理，这个线程中途也不会去处理其他的请求。所以在这段时间内，相当于这个线程跟当前用户是一一对应的。SecurityContextHolder工具类就是把SecurityContext存储在当前线程中。

SecurityContextHolder可以用来设置和获取SecurityContext。它主要是给框架内部使用的，可以利用它获取当前用户的SecurityContext进行请求检查，和访问控制等。

在Web环境下，SecurityContextHolder是利用ThreadLocal来存储SecurityContext的。

请求结束，SecurityContext存储在哪里？

我们知道Sevlet中线程是被池化复用的，一旦处理完当前的请求，它可能马上就会被分配去处理其他的请求。而且也不能保证用户下次的请求会被分配到同一个线程。所以存在线程里面，请求一旦结束，就没了。如果没有保存，不是每次请求都要重新认证登录？想想看，如果没有权限框架我们是怎么处理的？

想到了吧，如果不用权限框架，我们一般是把认证结果存在Session中的。同理，它也把认证结果存储到Session了。

对应的Key是："SPRING_SECURITY_CONTEXT"

流程视图

SecurityContextPersistenceFilter拦截器

 SecurityContextPersistenceFilter是Security的拦截器，而且是拦截链中的第一个拦截器，请求来临时它会从HttpSession中把SecurityContext取出来，然后放入SecurityContextHolder。在所有拦截器都处理完成后，再把SecurityContext存入HttpSession，并清除SecurityContextHolder内的引用。

注：其中repo对象是HttpSessionSecurityContextRepository

public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;

        if (request.getAttribute(FILTER_APPLIED) != null) {
            // ensure that filter is only applied once per request
            chain.doFilter(request, response);
            return;
        }

        final boolean debug = logger.isDebugEnabled();

        request.setAttribute(FILTER_APPLIED, Boolean.TRUE);

        if (forceEagerSessionCreation) {
            HttpSession session = request.getSession();

            if (debug && session.isNew()) {
                logger.debug("Eagerly created session: " + session.getId());
            }
        }

        HttpRequestResponseHolder holder = new HttpRequestResponseHolder(request,
                response);
        //利用HttpSecurityContextRepository从HttpSesion中获取SecurityContext对象
        //如果没有HttpSession，即浏览器第一次访问服务器，还没有产生会话。
        //它会创建一个空的SecurityContext对象
        SecurityContext contextBeforeChainExecution = repo.loadContext(holder);

        try {
            //把SecurityContext放入到SecurityContextHolder中
            SecurityContextHolder.setContext(contextBeforeChainExecution);
            //执行拦截链，这个链会逐层向下执行
            chain.doFilter(holder.getRequest(), holder.getResponse());

        }
        finally { 
            //当拦截器都执行完的时候把当前线程对应的SecurityContext从SecurityContextHolder中取出来
            SecurityContext contextAfterChainExecution = SecurityContextHolder
                    .getContext();
            // Crucial removal of SecurityContextHolder contents - do this before anything
            // else.
            SecurityContextHolder.clearContext();
            //利用HttpSecurityContextRepository把SecurityContext写入HttpSession
            repo.saveContext(contextAfterChainExecution, holder.getRequest(),
                    holder.getResponse());
            request.removeAttribute(FILTER_APPLIED);

            if (debug) {
                logger.debug("SecurityContextHolder now cleared, as request processing completed");
            }
        }
    }

Tomcat建立会话的流程

　　有人可能对Tomcat建立会话的流程还不熟悉，这里稍微整理一下。是这样的，当客户浏览器打开后第一次访问Tomcat服务器，Tomcat会创建一个HttpSesion对象，存入一个ConcurrentHashMap，Key是SessionId，Value就是HttpSession。然后请求完成后，在返回的报文中添加Set-Cookie：JSESSIONID=xxx，然后客户端浏览器会保存这个Cookie。当浏览器再次访问这个服务器的时候，都会带上这个Cookie。Tomcat接收到这个请求后，根据JSESSIONID把对应的HttpSession对象取出来，放入HttpSerlvetRequest对象里面。

重点：

1.HttpSession会一直存在服务端，实际上是存在运行内存中。除非Session过期 OR Tomcat奔溃 OR 服务器奔溃，否则会话信息不会消失。

2.如无特殊处理，Cookie JSESSIONID会在浏览器关闭的时候清除。

3.Tomcat中HttpSesion的默认过期时间为30分钟。

4.这些处理都在Security的拦截链之前完成。

——————————————————2019年1月21日更正——————————————

浏览器访问Web项目并不会创建Session，只有在编程调用request.getSession()方法后Session才会建立，浏览器才会有JSESSIONID的Cookie。

一般是认证成功后，调用getSession()（其实在这之前Session并不存在），获得Session对象，然后把信息存里面。

所以，一般的，在登录之前，你不管怎么访问网站，都不会建立会话。