Skip to main content
本文に 212 文字追加
ソース リンク

追記:
…なので自分で(私のQiitaの記事としては比較的真面目に)書いてみました
サンプルコードはこちらです

追記:
…なので自分で(私のQiitaの記事としては比較的真面目に)書いてみました
サンプルコードはこちらです

ソース リンク

回答順が前後しますが、

username の情報だけに基づいて検索して良いんでしょうか?パスワードによる認証をしている場合は、パスワードが一致していることの担保は別の機構(おそらくHttpSecurityで内部的に?)で行っているのでしょうか?

What is a UserDetailsService and do I need one?曰く:

UserDetailsService is a DAO interface for loading data that is specific to a user account. It has no other function other to load that data for use by other components within the framework. It is not responsible for authenticating the user.
Authenticating a user with a username/password combination is most commonly performed by the DaoAuthenticationProvider, (後略)

(22.7.4. Common "Howto" RequestsにあるUserDetailsServiceについての疑問と回答も参照してみてください。UserDetailsServiceとは何であるか、というのがより理解できるかなと思います。)

ということで、UserDetailsServiceとはまさに「usernameの情報だけに基づいて検索」するための機構です。
また、Spring Securityにおいて認証処理を実装するところはAuthenticationProviderですが(詳しくはこちらの回答でもリンクしているSpring Security Architectureなどを参照してください)、UserDetailsServiceにおいては、引用文中にある通り、デフォルトではDaoAuthenticationProviderが利用されるようになっています。

なぜUserDetailsServiceを実装して、loadUserByUsernameメソッドで username に基づいたユーザーを返す必要があるのでしょうか?

これについては、そのようなシチュエーションに適すように設計されたものだから、としか答えようがないかと思います。
必要がある、わけではなくてusername(ユーザのユニークキー(自然キー))でユーザ検索するのが普通だからそういう設計になっている、ので、ここにギャップがあるならUserDetailsServiceを利用すべき状況ではないということになります。

principal と credentials は2つそろうことで機能すると思うので、パスワードによる認証を行っていた場合、どのような機構で、この2つを担保しているのでしょうか?

こちらについては疑問に感じられているポイントがわかりませんでした(& princpalとcredentialsに誤解があるように思われます)。

UsernamePasswordAuthenticationFilterDaoAuthenticationProvider(及びその親クラスAbstractUserDetailsAuthenticationProvider)の実装を見ることで解決するでしょうか。


(以下、回答とは直接関係ない余談です)

UserDetailsServiceというのは(おそらくは多くの初学者の予想に反して)Spring Securityの応用的な使い方です。
なので、UserDetailsServiceを用いたサンプルを以てSpring Securityの基本を学ぼうとするのはハードルが高い(し、遠回りだ)と個人的には感じています。

できればUserDetailsServiceを利用していないコードサンプルから始められた方が良いのではないかな、と私は考えます。

(しかし、世に溢れる初心者向けと称するコードサンプルはUserDetailsServiceを使ったものばかり…というのに自分が学び始めた頃にも感じてQiitaに書きなぐったりもしたのですが。)