Spring Security是什么?
Spring Security 和 shiro 一样都是基于java实现的安全框架！
Spring Security是如何验证用户信息的，以及实现的机制?
如果你用过shiro就会发现，shiro验证流程其实就是一个抽象类，封装了里面整体验证的流程，然后会暴露出几个接口或者是抽象方法，供自己灵活的去验证！这里用到的设计模式就是“模板模式”
spring security验证流程其实和shiro也是一样的，下面让我们看一下到底是哪个抽象类封装了整体的验证流程！
AbstractAuthenticationProcessingFilter抽象类！！！
具体步骤！
上面的流程图就是spring security的整体验证流程！
1.首先所有的请求都会走AbstractAuthenticationProcessingFilter.doFilter（req，res，chain）方法
2.判断请求是否需要验证
3.authResult = attemptAuthentication(request, response)进行用户验证（request中会带有用户的信息），该方法也是验证过程中最重要的方法
1）返回一个 Authentication 对象，说明验证成功
2）验证时发生 AuthenticationException。
3）返回Null，表示身份验证不完整。假设子类做了一些必要的工作（如重定向）来继续处理验证，方法将立即返回。假设后一个请求将被这种方法接收，其中返回的Authentication对象不为空。
接下来我们来看一下AbstractAuthenticationProcessingFilter到底是怎么搞得？
首先AbstractAuthenticationProcessingFilter抽象类,咱们看一下继承它的子类
从上图我们可以看出UsernamePasswordAuthenticationFilter类是它的子类，那么我们看一下UsernamePasswordAuthenticationFilter类attemptAuthentication(request, response)方法是怎么搞得
从代码可以看出：
1.首先用用户名和密码生成个token，
2.然后去验证token；
那么问题来了，是谁去验证的token？别急我们继续跟代码
通过跟代码我们可以得出，原来AbstractAuthenticationProcessingFilter类中有一个private AuthenticationManager authenticationManager成员变量，也就是通过它去验证token；
下面我们看一下AuthenticationManager 类：
通过查看原来AuthenticationManager是一个验证管理器接口，既然是接口那一定有实现它的实现类！我们继续跟！！！
通过查看代码，就ProviderManager类像正常点的！O(∩_∩)O哈哈~ 搜嘎~那我们继续看看ProviderManager是到底在搞什么猫腻~
以上就是ProviderManager的authenticate(Authentication authentication)，PS:它是实现AuthenticationManager接口的！！！
主要看一下红线指向两处：
1.有个这个东西【getProviders()】，然后遍历它，
2.AuthenticationProvider对象去进行验证token！！【result = provider.authenticate(authentication)】;
通过查看代码原来ProviderManager类里面有这个属性private List providers = Collections.emptyList();PS:也就是getProviders()；
既然干活的是AuthenticationProvider对象，那就再看看它是怎么搞得！
AuthenticationProvider接口：
AbstractUserDetailsAuthenticationProvider通过名字，你有没有什么想法？抽象的用户详情验证提供者！！！
那么我们看一下authenticate(Authentication authentication)方法！
retrieveUser方法:
查看源码，他是一个抽象的方法；那接下来我们看一下它的实现类！DaoAuthenticationProvider
看箭头，有没有什么茅塞顿开！！！
this.getUserDetailsService().loadUserByUsername(username)；就是我们自己实现的UserDetailsService接口的实现类，我们通过实现loadUserByUsername(username)方法，获取userDetail对象；然后通过additionalAuthenticationChecks方法检验！！！
看到这里，如果之前没有用过spring security 的人一定会一头雾水~没事儿，多看看就好了，再结合网上的Demo自己感觉感觉！！！
推荐Demo地址：http://www.spring4all.com/article/419
总结：其实看着有点云里雾里~但是中心思想，就是把验证用户信息的一整套流程预先已经定义好了，封装在一个方法中（模板模式），然后各种暴露接口，抽象类，让子类去实现具体的业务逻辑！！！
参考网址：http://www.spring4all.com/article/420
网友评论