Spring Security OncePerRequestFilter 与 AuthenticationEntryPoint 调用流程详解

{"title":"Spring Security OncePerRequestFilter 与 AuthenticationEntryPoint 调用流程详解","description":"本文详细解释了 Spring Security 中 OncePerRequestFilter 何时调用 AuthenticationEntryPoint，以及详细的调用流程，并分析了AuthenticationEntryPoint 的作用和在身份验证过程中的重要性。","keywords":"Spring Security, OncePerRequestFilter, AuthenticationEntryPoint, 身份验证, 授权, 安全, 拦截器, 流程, 详解","content":"OncePerRequestFilter 在什么时候调用 AuthenticationEntryPoint 取决于配置。当请求需要进行身份验证时，OncePerRequestFilter 会在调用实际的身份验证逻辑之前调用 AuthenticationEntryPoint。\n\n调用流程如下：\n\n1. 当请求到达应用程序时，OncePerRequestFilter 会拦截该请求。\n2. OncePerRequestFilter 首先检查请求是否需要进行身份验证。如果需要进行身份验证，它会调用 AuthenticationEntryPoint 的 commence() 方法。\n3. AuthenticationEntryPoint 的 commence() 方法负责处理未经身份验证的请求，并确定如何响应。它可以返回一个 HTTP 响应，例如 401 Unauthorized，以指示需要进行身份验证。\n4. 一旦 AuthenticationEntryPoint 的 commence() 方法完成，OncePerRequestFilter 将继续调用实际的身份验证逻辑。这可能涉及到将请求传递给身份验证提供者（例如用户名密码验证或令牌验证），以验证用户的身份。\n5. 一旦身份验证完成，OncePerRequestFilter 将允许请求继续处理，并将响应返回给客户端。\n\n总之，OncePerRequestFilter 在调用 AuthenticationEntryPoint 之前先拦截请求，然后根据 AuthenticationEntryPoint 的响应确定如何处理未经身份验证的请求。完成后，它继续调用实际的身份验证逻辑，并将响应返回给客户端。"}