前言
在前面的2个章节中， 带大家认识了Spring Security中的第基本认证与表单认证 2种认证方式，其中表单认证是Spring Security默认的认证方式，也是开发时最常用的认证方式。有的小伙伴会问，不是还有第3种认证方式吗？对的，还有第三种摘要认证方式！在本文中，我们来学习了解一下HTTP摘要认证。
但是对于摘要认证，我们仅做了解即可，因为这种认证方式仅比基本认证稍微安全一点，开发时用的也不是很多。抱着艺多不压身的心态，我们多了解一点反正也没坏处。
一. HTTP摘要认证
1. 认证方式
小伙伴们，大家先跟我回顾一下Spring Security中的认证方式，有如下3种:
- ①. HTTP基本认证；
- ②. Form表单认证；
- ③. HTTP摘要认证；
2. HTTP摘要认证
那么这个摘要认证是怎么回事呢？我们先来看看它的概念。
HTTP摘要认证和HTTP基本认证一样，也是在RFC2616中定义的一种认证方式，它的出现是为了弥补HTTP基本认证存在的安全隐患，但该认证方式也并不是很安全**。HTTP摘要认证会使用对通信双方来说都可知的口令进行校验，且最终以密文的形式来传输数据，所以相对于基本认证来说，稍微安全了一些**。
原来这就是摘要认证啊，懂了?要是还没懂，我们继续往下看摘要认证的认证模型吧。
3. HTTP摘要认证模型
HTTP摘要认证与基本认证类似，基于简单的“挑战-回应”模型。当我们发起一个未经认证的请求时，服务器会返回一个401回应，并给客户端返回与验证相关的参数，期待客户端依据这些参数继续做出回应，从而完成整个验证过程。
这时候你可能会问，服务端会给客户端返回哪些与验证相关的参数呢？挺多的，你往下看！
4. HTTP摘要认证核心参数
服务端给客户端返回的验证相关参数如下：
- username: 用户名。
- password: 用户密码。
- realm: 认证域，由服务器返回。
- opaque: 透传字符串，客户端应原样返回。
- method: 请求的方法。
- nonce: 由服务器生成的随机字符串，包含过期时间(默认过期时间300s)和密钥。
- nc: 即nonce-count,指请求的次数，用于计数，防止重放攻击。qop被指定时，nc也必须被指定。
- cnonce: 客户端发给服务器的随机字符串，qop被指定时，cnonce也必须被指定。
- qop: 保护级别，客户端根据此参数指定摘要算法。若取值为 auth,则只进行身份验证；若取值为auth-int，则还需要校验内容完整性，默认的qop为auth。
- uri: 请求的uri。
- response: 客户端根据算法算出的摘要值，这个算法取决于qop。
- algorithm: 摘要算法，目前仅支持MD5。
- entity-body: 页面实体，非消息实体，仅在auth-int中支持。
通常服务器端返回的数据包括realm、opaque、nonce、qop等字段，如果客户端需要做出验证回应，就必须按照一定的算法得到一些新的数据并一起返回**。在以上各种参数中，对服务器而言，最重要的字段是nonce；对客户端而言，最重要的字段是response**。
参数好多啊，这谁能记得住啊！说实话，我也记不住，其实对这些参数记几个重要的即可，其余的以后开发时，如果真的用得到，打开 的这篇博文，查查是啥意思就好。
二. 摘要认证代码实现
纸上得来终觉浅，绝知此事要躬行！摘要认证的理论知识，我们就了解这么多，还是带大家来实操一把，把代码给搞出来。
注意：
我实现这个摘要认证时，结合了数据库查询，这属于后面章节的内容，算是超纲了，如果小伙伴看不懂，到时候请结合后面关于数据库查询的章节一起看！
1. 编写测试接口
我们还是在上个案例的基础上，对项目加以改造，编写Web测试接口，具体创建过程参考上文:
《Spring Security系列教程03--创建SpringSecurity项目》
@RestController
public class IndexController {
@GetMapping("/admin/hello")
public String helloAdmin() {
return "hello, admin";
}
@GetMapping("/user/hello")
public String helloUser() {
return "hello, user";
}
@GetMapping("/visitor/hello")
public String helloVisitor() {
return "hello, visitor";
}
}
2. 创建SecurityConfig配置类
当然，对于Spring Security来说，比较关键的就是要有一个SecurityConfig配置类，这里比较重要的是配置摘要认证入口端点DigestAuthenticationEntryPoint。
@EnableWebSecurity(debug = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private DigestAuthenticationEntryPoint digestAuthenticationEntryPoint;
@Autowired
private MyUserDetailsService userDetailsService;
//配置认证入口端点，主要是设置认证参数信息
@Bean
public DigestAuthenticationEntryPoint digestAuthenticationEntryPoint(){
DigestAuthenticationEntryPoint point=new DigestAuthenticationEntryPoint();
point.setKey("Security Demos");
point.setRealmName("yyg");
point.setNonceValiditySeconds(500);
return point;
}
public DigestAuthenticationFilter digestAuthenticationFilter(){
DigestAuthenticationFilter filter=new DigestAuthenticationFilter();
filter.setAuthenticationEntryPoint(digestAuthenticationEntryPoint);
filter.setUserDetailsService(userDetailsService);
return filter;
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers("/admin/**")
.hasRole("ADMIN")
.antMatchers("/user/**")
.hasRole("USER")
.antMatchers("/visitor/**")
.permitAll()
.anyRequest()
.authenticated()
.and()
.csrf()
.disable()
//当未认证时访问某些资源,则由该认证入口类来处理.
.exceptionHandling()
.authenticationEntryPoint(digestAuthenticationEntryPoint)
.and()
//添加自定义过滤器到过滤器链中
.addFilter(digestAuthenticationFilter());
}
}
3. 代码结构
本案例的项目包结构如下，供各位参考。
4. 测试接口
接着来访问一下需要认证的接口，比如/admin/hello接口，这时候会发现浏览器弹出了一个用户名密码的认证窗口。然后我们在浏览器中可以看到HTTP摘要认证信息，realm是我们自定义的“yyg”，qop是默认的“auth”方式。
由此可见，此时摘要认证的方式已经生效。
5. HTTP摘要认证弊端
HTTP摘要认证与HTTP基本认证一样，都是基于HTTP层面的认证方式，也不能使用Session对象，因而也不支持Remember-Me功能。该方式虽然解决了HTTP基本认证中以明文传输密码的问题，但并未解决密码明文存储的问题，所以依然有安全隐患，所以在开发中，摘要认证的方式也不怎么使用。
这就是所谓的摘要认证方式，我就给大家介绍这么多，各位对其仅做了解即可。在3种认证方式里，我们应该重点掌握表单认证的实现。