Skip to main content
7 / 7
本文に 56 文字追加
shingo.nakanishi
  • 6,543
  • 8
  • 59
  • 99

UserDetailsServiceのloadUserByUsernameの存在意義がよくわからないです

質問

なぜUserDetailsServiceを実装して、loadUserByUsernameメソッドで username に基づいたユーザーを返す必要があるのでしょうか?

そもそも username の情報だけに基づいて検索して良いんでしょうか?パスワードによる認証をしている場合は、パスワードが一致していることの担保は別の機構(おそらくHttpSecurityで内部的に?)で行っているのでしょうか?

Spring Security側からしたら、User(正確にはprincipal)がDBに保存されているのかインメモリに保存されているのかわからないだろうから取得方法をloadUserByUsernameで知らせてほしいんだろうなあというのはわからなくもないですが。


と、ここまで書いておいて[credentials][1]がたしかにパスワードだけとも限らないので、`loadUserByUsername`にパスワードが必要ないのも不思議ではないような気もしてきました(とはいえ、単なる推測なので、なんのために`loadUserByUsername`を実装しているのかは不明のままですが)。

principalcredentials は2つそろうことで機能すると思うので、パスワードによる認証を行っていた場合、どのような機構で、この2つを担保しているのでしょうか?

参考資料

Spring Security 使い方メモ 認証・認可 - Qiita

  • UserDetailsService を実装したクラスを作成する。
  • UserDetailsService には loadUserByUsername(String) というメソッドが1つだけ存在する。
    • 引数でユーザーを識別するための文字列(普通はログイン画面などで入力されたユーザー名)が渡ってくるので、その識別文字列に対応するユーザー情報を返却する。
    • 対応するユーザー情報が存在しない場合は UsernameNotFoundException をスローする。

UserDetailsService (spring-security-docs-manual 5.3.3.RELEASE API)

Locates the user based on the username. In the actual implementation, the search may possibly be case sensitive, or case insensitive depending on how the implementation instance is configured. In this case, the UserDetails object that comes back may have a username that is of a different case than what was actually requested..

shingo.nakanishi
  • 6,543
  • 8
  • 59
  • 99