Qual è il "principale" in Spring Security?

Question

Sono davvero nuovo per Spring e Spring Security. Stavo leggendo su Spring Security ed è uscito il concetto di principal, che dovrebbe essere l'utente registrato corrente. Ma cosa succede se abbiamo più di un utente registrato corrente? Quindi, la mia domanda è, qual è esattamente il principale nella sicurezza di primavera?

Ho letto ad esempio questo tutorial:

http://www.mkyong.com/spring-security/get-current-logged-in-username-in-spring-security/

e sembrano tener conto che c'è solo una corrente registrato utente, che spesso non è il caso.

Come si recupera un utente specifico? E come faccio a distinguere tra gli utenti che stanno facendo richieste?

Answer 1

Il principale è l'utente attualmente connesso. Tuttavia, lo si recupera attraverso il contesto di sicurezza che è legato al thread corrente e come tale è anche associato alla richiesta corrente e alla sua sessione.

SecurityContextHolder.getContext() ottiene internamente l'attuale implementazione SecurityContext tramite una variabile ThreadLocal. Poiché una richiesta è associata a un singolo thread, questo ti darà il contesto della richiesta corrente.

Per semplificare si potrebbe dire che il contesto di sicurezza è nella sessione e contiene utente/principale e ruoli/autorità.

Come si recupera un utente specifico?

Non è così. Tutte le API sono progettate per consentire l'accesso alla sessione utente & della richiesta corrente. Consenti all'utente A di essere uno dei 100 utenti attualmente autenticati. Se A emette una richiesta contro il server, allocherà un thread per elaborare quella richiesta. Se fai quindi SecurityContextHolder.getContext().getAuthentication() lo fai nel contesto di questo thread. Per impostazione predefinita all'interno di quel thread non si ha accesso al contesto dell'utente B che viene elaborato da un thread diverso.

E come faccio a distinguere tra utenti che stanno facendo richieste?

Non è necessario, è ciò che fa il contenitore Servlet per te.