在仿造用表单登录认证流程时，得知道这个流程中经过了哪些类，并且哪些类是重要的？不记得的童鞋再去回顾下捋一遍登录Spring Security登录流程(源码篇)这篇文章，详细的介绍了表单登录认证的整个流程。如下图：
image.png

1、IpAuthenticationToken

该AuthenticationToken仿造UsernamePasswordAuthenticationToken，同样继承自AbstractAuthenticationToken，然后添加一个ip属性，让getPrincipal方法返回ip，然后仿造UsernamePasswordAuthenticationToken增加两个构造方法，一个是未认证的token，一个是认证成功的token，这两个构造方法在认证过程中会被用到。

  1. public class IpAuthenticationToken extends AbstractAuthenticationToken {
  2.   private final String ip;
  4.   public IpAuthenticationToken(String ip) {
  5.     super(null);
  6.     this.ip = ip;
  7.     this.setAuthenticated(false);
  8.   }
  10.   public IpAuthenticationToken(String ip, Collection<? extends GrantedAuthority> authorities) {
  11.     super(authorities);
  12.     this.ip = ip;
  13.     super.setAuthenticated(true);
  14.   }
  16.   @Override
  17.   public Object getCredentials() {
  18.     return null;
  19.   }
  21.   @Override
  22.   public Object getPrincipal() {
  23.     return ip;
  24.   }
  25. }

2、IpAuthenticationFilter

该过滤器仿造UsernamePasswordAuthenticationFilter过滤器，也继承自AbstractAuthenticationProcessingFilter，不过需要拦截的请求地址变成/api/auth/ip-login，然后也要像UsernamePasswordAuthenticationFilter过滤器一样重写父类的attemptAuthentication方法，new一个IpAuthenticationToken对象交给ProviderManager中的Providers集合去认证，我们知道，一个Provider只能认证一个AuthenticationToken对象，那么这个时候问题来了，能够认证IpAuthenticationToken对象还并不存在，所以，我们还得仿造DaoAuthenticationProvider去写一个IpAuthenticationProvider类。

  1. @Slf4j
  2. public class IpAuthenticationFilter extends AbstractAuthenticationProcessingFilter {
  3.   private static final AntPathRequestMatcher DEFAULT_ANT_PATH_REQUEST_MATCHER =
  4.       new AntPathRequestMatcher(SecurityConstant.IP_LOGIN_PROCESSING_URL, "POST");
  5.   private boolean postOnly = true;
  7.   public IpAuthenticationFilter() {
  8.     super(DEFAULT_ANT_PATH_REQUEST_MATCHER);
  9.   }
  11.   @Override
  12.   public Authentication attemptAuthentication(
  13.       HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
  14.     if (this.postOnly && !request.getMethod().equals("POST")) {
  15.       throw new AuthenticationServiceException(
  16.           "Authentication method not supported: " + request.getMethod());
  17.     } else {
  18.       String ip = request.getRemoteHost();
  19.       log.info(String.format("当前登录用户ip地址为%s", ip));
  20.       IpAuthenticationToken authRequest = new IpAuthenticationToken(ip);
  21.       return this.getAuthenticationManager().authenticate(authRequest);
  22.     }
  23.   }
  24. }

3、IpAuthenticationProvider

该认证类方法仿造DaoAuthenticationProvider类，同样实现AuthenticationProvider接口，实现接口中的authenticate和supports方法，让该认证类只对IpAuthenticationToken生效，然后在认证过程中，DaoAuthenticationProvider会去调用UserDetailsService接口去数据库或内存中拿取用户，然后判断加密后密码是否匹配等等校验，而IpAuthenticationProvider的认证逻辑有点不同，只需要判断当前登录用户的ip地址是否在白名单中，这个白名单当前简单点，直接在内存中写死，如果以后有需要，可以类似UserDetailsService一样从数据库中读取，如果当前用户的ip地址是在白名单中，那么返回一个认证成功的IpAuthenticataionToken，否则返回null。

  1. @Component
  2. public class IpAuthenticationProvider implements AuthenticationProvider, MessageSourceAware {
  3.   protected MessageSourceAccessor messages = SpringSecurityMessageSource.getAccessor();
  4.   private static final Map<String, SimpleGrantedAuthority> ipAuthorityMap =
  5.       new ConcurrentHashMap<>();
  7.   static {
  8.     ipAuthorityMap.put("127.0.0.1", new SimpleGrantedAuthority("ADMIN"));
  9.   }
  11.   @Override
  12.   public Authentication authenticate(Authentication authentication) throws AuthenticationException {
  13.     Assert.isInstanceOf(
  14.         IpAuthenticationToken.class,
  15.         authentication,
  16.         () ->
  17.             this.messages.getMessage(
  18.                 "IpAuthenticationProvider.onlySupports",
  19.                 "Only IpAuthenticationToken is supported"));
  20.     String ip = (String) authentication.getPrincipal();
  21.     if (ipAuthorityMap.containsKey(ip)) {
  22.       return new IpAuthenticationToken(ip, Collections.singletonList(ipAuthorityMap.get(ip)));
  23.     }
  24.     return null;
  25.   }
  27.   @Override
  28.   public boolean supports(Class<?> authentication) {
  29.     return IpAuthenticationToken.class.isAssignableFrom(authentication);
  30.   }
  32.   @Override
  33.   public void setMessageSource(MessageSource messageSource) {
  34.     this.messages = new MessageSourceAccessor(messageSource);
  35.   }
  36. }

4、IpLoginConfigurer

看完Spring Security 初始化流程梳理(源码篇二)🎁这篇文章的童鞋应该知道，一条过滤器链是怎么产生的？遍历HttpSecurity中的configurers集合，对每一个configurer配置类进行init和configure方法，这样就将配置好的过滤器添加到HttpSecurity#filters集合中，然后HttpSecurity再执行performBuild方法使用filters集合构建出一条过滤器链。所以在这里我们得仿造FormLoginConfigurer编写一个IpLoginConfigurer，继承自SecurityConfigurerAdapter<DefaultSecurityFilterChain, HttpSecurity>，重写其中的configure方法，在configure方法中需要将IpLoginFilter添加到HttpSecurity#filters集合中。

  1. @Component
  2. @RequiredArgsConstructor
  3. public class IpLoginConfigurer
  4.     extends SecurityConfigurerAdapter<DefaultSecurityFilterChain, HttpSecurity> {
  5.   private final MyAuthenticationSuccessHandler authenticationSuccessHandler;
  6.   private final MyAuthenticationFailureHandler authenticationFailureHandler;
  7.   private final IpAuthenticationProvider ipAuthenticationProvider;
  9.   @Override
  10.   public void init(HttpSecurity http) {
  11.     http.authenticationProvider(postProcess(new IpAuthenticationProvider()));
  12.   }
  14.   @Override
  15.   public void configure(HttpSecurity http) {
  16.     IpAuthenticationFilter ipAuthenticationFilter = new IpAuthenticationFilter();
  17.     ipAuthenticationFilter.setAuthenticationManager(
  18.         http.getSharedObject(AuthenticationManager.class));
  19.     ipAuthenticationFilter.setAuthenticationSuccessHandler(authenticationSuccessHandler);
  20.     ipAuthenticationFilter.setAuthenticationFailureHandler(authenticationFailureHandler);
  21.     http.addFilterBefore(ipAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
  22.   }
  23. }

一定得记住将ipAuthenticationProvider通过HttpSecurity对象添加到ProviderManager中的providers属性中，否则在后面认证过程中会应找不到ipAuthenticationProvider而认证不了。 :::warning 🤔我将http.authenticationProvider(ipAuthenticationProvider)写在configure方法中居然也可以？这个地方我还没搞懂为什么？？？正确的添加时机应该是init方法的时候，因为在HttpSecurity中的beforeConfigure中就已经将AuthenticationManager对象构建出来了。所以我没看懂为什么在configure方法中添加ipAuthenticationProvider也可以，但是是添加到了父AuthenticationManager对象中的providers集合中，搞不懂？ :::

  1. @Override
  2. protected void beforeConfigure() throws Exception {
  3.     if (this.authenticationManager != null) {
  4.         setSharedObject(AuthenticationManager.class, this.authenticationManager);
  5.     }
  6.     else {
  7.         setSharedObject(AuthenticationManager.class, getAuthenticationRegistry().build());
  8.     }
  9. }

5、小结

对比Spring Security默认的表单登录认证，使用Ip认证登录需要对照增加的类：

  • UsernamePasswordAuthenticationToken -> IpAuthenticationToken
  • UsernamePasswordAuthenticationFilter -> IpAuthenticationFilter
  • DaoAuthenticationProvider -> IpAuthenticationProvider
  • UserDetailService -> ConcurrentHashMap
  • FormLoginConfigurer -> IpLoginConfigurer

后续使用短信登录或者第三方登录的时候也可以按照这个思路进行扩展，加油！🥳