AbstractAuthenticationToken 认证流程中​​认证令牌的核心抽象类详解

在 Spring Security 中，AbstractAuthenticationToken 是 Authentication 接口的​​抽象实现类​​，其核心作用是为具体的认证令牌（如用户名密码令牌、JWT 令牌等）提供​​基础结构与默认方法​​，简化开发者在实现自定义认证令牌时的重复代码。它是 Spring Security 认证流程中“认证载体”的核心抽象，连接了认证请求与最终的认证结果。

核心作用详解

1. ​​实现 Authentication 接口的基础结构​​

Authentication 接口定义了认证令牌的核心行为（如获取主体、权限、认证状态等）。AbstractAuthenticationToken 实现了该接口，并提供了以下基础能力：

• ​​管理认证状态​​：通过 isAuthenticated() 判断是否已认证，setAuthenticated(boolean) 控制认证状态（部分子类会覆盖此方法）。
• ​​存储主体与凭证​​：通过 getPrincipal() 获取用户主体（如用户名、用户对象），getCredentials() 获取验证凭证（如密码、token）。
• ​​权限管理​​：通过 getAuthorities() 获取用户权限集合（GrantedAuthority），这是授权决策的关键依据。

2. ​​提供默认方法实现​​

AbstractAuthenticationToken 为 Authentication 接口的部分方法提供了默认实现，避免子类重复编写代码：

3. ​​定义认证令牌的通用行为​​

AbstractAuthenticationToken 明确了认证令牌的​​生命周期规范​​，例如：

• ​​未认证状态​​：初始时（如用户提交表单前），令牌处于未认证状态（isAuthenticated() == false）。
• ​​认证后状态​​：通过 setAuthenticated(true) 标记为已认证（通常由 AuthenticationManager 完成）。
• ​​凭证安全​​：通过 eraseCredentials() 清理敏感信息（如密码），防止内存泄漏导致的安全风险。

关键子类与典型场景

1. ​​UsernamePasswordAuthenticationToken（最常用）​​

用于​​表单登录或 HTTP 基本认证​​，表示“用户名+密码”的认证请求或结果。

​​使用示例​​：

// 认证请求阶段（未认证）
UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken("username",  // principal（用户主体）"password"   // credentials（密码凭证）
);// 认证成功后（已认证，包含权限）
Authentication authenticatedToken = new UsernamePasswordAuthenticationToken(user,        // principal（用户对象）null,        // 凭证已清理（eraseCredentials()）authorities  // 权限集合（如 ROLE_USER）
);

2. ​​JwtAuthenticationToken（JWT 场景）​​

用于​​JWT 令牌认证​​，表示通过 JWT 令牌完成的认证。

​​自定义示例​​：

public class JwtAuthenticationToken extends AbstractAuthenticationToken {private final String token; // JWT 令牌字符串private UserDetails userDetails; // 解析后的用户详情// 构造未认证的 JWT 令牌（仅包含令牌字符串）public JwtAuthenticationToken(String token) {super(null); // 初始权限为空this.token = token;setAuthenticated(false); // 未认证}// 构造已认证的 JWT 令牌（包含用户详情和权限）public JwtAuthenticationToken(UserDetails userDetails, Collection<? extends GrantedAuthority> authorities) {super(authorities);this.userDetails = userDetails;this.token = null; // 认证后无需保留原始令牌（可选）setAuthenticated(true); // 标记为已认证}@Overridepublic Object getPrincipal() {return userDetails != null ? userDetails.getUsername() : token;}@Overridepublic Object getCredentials() {return token; // 凭证是 JWT 令牌本身（认证后可能被清理）}@Overridepublic void eraseCredentials() {super.eraseCredentials();this.token = null; // 清理令牌（可选）}
}

3. ​​AnonymousAuthenticationToken（匿名用户场景）​​

用于​​未登录用户的匿名访问​​，表示一个“匿名主体”（如访客用户）。

​​特点​​：

• 认证状态为 true（视为已认证，但权限受限）。
• 主体通常是 AnonymousAuthenticationToken 自身的实例。

核心方法与设计细节

1. ​​构造方法​​

AbstractAuthenticationToken 提供了两个构造方法：

// 构造未认证的令牌（权限集合由参数指定）
public AbstractAuthenticationToken(Collection<? extends GrantedAuthority> authorities) {this.authorities = Collections.unmodifiableList(new ArrayList<>(authorities));
}// 构造已认证的令牌（权限集合由参数指定）
protected AbstractAuthenticationToken(Collection<? extends GrantedAuthority> authorities, Object principal, Object credentials) {this.authorities = authorities;this.principal = principal;this.credentials = credentials;setAuthenticated(true);
}

• 子类通常根据场景选择构造方法（如 UsernamePasswordAuthenticationToken 在认证前使用无权限构造，认证后使用带权限构造）。

2. ​​setAuthenticated(boolean) 的限制​​

默认情况下，AbstractAuthenticationToken 的 setAuthenticated(boolean) 方法会抛出 IllegalArgumentException，因为​​部分令牌的认证状态应由 Spring Security 自动管理​​（如 UsernamePasswordAuthenticationToken）。

​​示例（UsernamePasswordAuthenticationToken 的实现）​​：

@Override
public void setAuthenticated(boolean isAuthenticated) {if (isAuthenticated) {throw new IllegalArgumentException("Cannot set this token to trusted - use constructor which takes a GrantedAuthority list instead");}super.setAuthenticated(false);
}

• 若需手动设置认证状态（如自定义令牌），需覆盖此方法（如 AnonymousAuthenticationToken）。

3. ​​eraseCredentials() 的安全实践​​

AbstractAuthenticationToken 要求子类在认证完成后清理敏感凭证（如密码），防止内存泄漏导致的信息泄露。典型实现：

@Override
public void eraseCredentials() {super.eraseCredentials();this.credentials = null; // 清空凭证字段
}

与 Authentication 接口的关系

• Authentication 是接口，定义了认证令牌的行为规范（如获取主体、权限、认证状态）。
• AbstractAuthenticationToken 是其抽象实现，提供了基础结构与默认方法，降低了自定义令牌的实现成本。

总结

AbstractAuthenticationToken 是 Spring Security 认证流程中​​认证令牌的核心抽象类​​，通过提供基础结构、默认方法和安全规范，简化了具体认证令牌（如 UsernamePasswordAuthenticationToken、JwtAuthenticationToken）的实现。它确保了认证令牌的一致性，是连接“认证请求”与“认证结果”的关键桥梁，也是开发者自定义认证逻辑的重要基础。