以正确的方式保护应用程序从未如此重要。虽然有很多选项可以保护您的安全。让我带您了解 spring security 架构，以帮助您理解为什么这可能是您的首选框架。
首先，客户端向服务器发送http请求，该请求必须经过一个称为安全过滤器链的过滤器链。过滤器链有多个层，但我们将只关注 UsernamePasswordAuthenticationFilter （它是链的一部分）。 spring Security 的默认设置是使用登录表单，您将在终端上获得随机生成的密码，您需要使用该密码来登录。
提供凭据后，将使用用户名和密码生成UsernamePasswordAuthenticationToken。该令牌被传递到 AuthenticationManager （负责管理身份验证）。然后它被传递给其中一个 AuthenticationProviders beans（DaoAuthenticationProvider 被广泛使用）。提供程序通过根据数据库验证用户凭据来处理身份验证逻辑。
身份验证逻辑可能很复杂，需要一个类来帮助获取存储在数据库中的用户详细信息。为此，使用 UserDetailsService，它实现 UserDetails 接口来加载数据。
当 UsernamePasswordAuthenticationToken 被验证时，它会填充附加数据（例如，用户授予的权限）并返回到 AuthenticationManager，然后将其放入 SecurityContext，包裹在 SecurityContextHolder 周围。如果应用程序是基于会话的，则 SecurityContext 存储在 HTTP 会话中。
当客户端注销时，身份验证对象将从SecurityContextHolder中清除。
注意事项：
当会话是无状态时（例如，使用 JWT 令牌时），安全措施的处理方式有所不同。大多数身份验证过程都是相似的，除了无状态身份验证不依赖于服务器端会话这一事实。
