java.security.Principal - 在 HttpServletRequest 和 Spring Security 中创建

Question

1. 我无法找到 HttpServletRequest 中的 java.security.Principal 是如何创建的 - 谁负责？它是如何完成的？它是否必须保留在 Session 中？

2. 它是如何连接到 Spring Security 的？

3. 是否有任何替代 Spring Security 的替代方案，它使用 Principal 进行用户授权/身份验证？

4. 如何实现自己的用户授权/身份验证，以便 Principal 包含当前用户？

Answer 1

1. 通常情况下，Principal 对象在成功登录后进入会话。参见documentation。
2. 弹簧Authentication 接口扩展Principal 接口
3. 您也可以使用Apache Shiro
4. 实现自己的UserDetailsService，它将返回您的用户对象（它必须实现 UserDetails 接口）参见docs。

Answer 2

Principal 将由 Spring Security 根据您的 Spring Security 配置设置。

要实现这一点，请参阅http://static.springsource.org/spring-security/site/docs/3.1.x/reference/springsecurity.html