春季安全 - 用户名和密码是否必须用于创建身份验证

Question

我正在使用spring安全性来验证用户身份。该用户由第三方进行身份验证，并且在他到达我的应用程序时已经通过身份验证。 为了实现这个，我模拟了一个Authentication对象。

我没有任何用户名和密码，而只是有标识符。我检查这个标识符是否有效使用我的自定义代码。

我的查询如下：

1. 我是否需要用户名和密码来创建一个认证对象。 我没有提供用户名和密码，我的应用程序工作正常。

2. 我只是想确保我正确使用spring-security。

3. 在认证对象中没有设置用户名和密码的影响。我在下面的AbstractUserDetailsAuthenticationProvider中看到：

   //确保我们返回用户提供的原始凭证， //所以后续尝试即使使用编码密码也是成功的。

我也实现了一个自定义提供程序。

1. 以上评论意味着什么？
2. 我的方法正确吗？

Answer 1

Spring Security中的Authentication接口表示对配置的安全规则和当前调用上下文进行验证的令牌。该界面有六种感兴趣的方法 - getPrincipal,getCredentials,getDetails,getAuthorities,isAuthenticated和setAuthenticated。

既然你验证你自己的用户，你应该主要关注在流动在合适的阶段调用setAuthenticated(true)使isAuthenticated开始使true以表示身份验证的用户。此外，您可以将GrantedAuthority添加到Authentication，以便任何基于角色的检查能够正常工作。

但是，确保getPrincipal（用于表单登录的用户名）为每个用户或每个会话返回一个唯一值将很有用。这将防止由于非唯一主体而导致用户会话互换的可能性，框架使用它来唯一标识用户。

您可以将getCredentials和getDetails保持未实现。实际上，getCredentials（表单登录情况下的密码）应该在您的案例中保持未实现，因为您的应用程序没有用于实际验证用户的凭证;此外，在用户成功通过身份验证之后，保留身份验证是一种安全风险。