質問
なぜUserDetailsService
を実装して、loadUserByUsername
メソッドで username に基づいたユーザーを返す必要があるのでしょうか?
そもそも username の情報だけに基づいて検索して良いんでしょうか?パスワードによる認証をしている場合は、パスワードが一致していることの担保は別の機構(おそらくHttpSecurity
で内部的に?)で行っているのでしょうか?
Spring Security側からしたら、User(正確にはprincipal)がDBに保存されているのかインメモリに保存されているのかわからないだろうから取得方法をloadUserByUsername
で知らせてほしいんだろうなあというのはわからなくもないですが。
と、ここまで書いておいてcredentialsがたしかにパスワードだけとも限らないので、
loadUserByUsername
にパスワードが必要ないのも不思議ではないような気もしてきました(とはいえ、単なる推測なので、なんのためにloadUserByUsername
を実装しているのかは不明のままですが)。
principal と credentials は2つそろうことで機能すると思うので、パスワードによる認証を行っていた場合、どのような機構で、この2つを担保しているのでしょうか?
参考資料
Spring Security 使い方メモ 認証・認可 - Qiita
- UserDetailsService を実装したクラスを作成する。
- UserDetailsService には loadUserByUsername(String) というメソッドが1つだけ存在する。
- 引数でユーザーを識別するための文字列(普通はログイン画面などで入力されたユーザー名)が渡ってくるので、その識別文字列に対応するユーザー情報を返却する。
- 対応するユーザー情報が存在しない場合は UsernameNotFoundException をスローする。
UserDetailsService (spring-security-docs-manual 5.3.3.RELEASE API)
Locates the user based on the username. In the actual implementation, the search may possibly be case sensitive, or case insensitive depending on how the implementation instance is configured. In this case, the UserDetails object that comes back may have a username that is of a different case than what was actually requested..