# 質問 なぜ`UserDetailsService`を実装して、`loadUserByUsername`メソッドで username に基づいたユーザーを返す必要があるのでしょうか? そもそも username の情報だけに基づいて検索して良いんでしょうか?パスワードによる認証をしている場合は、パスワードが一致していることの担保は別の機構(おそらく`HttpSecurity`で内部的に?)で行っているのでしょうか? Spring Security側からしたら、User(正確には[principal][1])がDBに保存されているのかインメモリに保存されているのかわからないだろうから取得方法を`loadUserByUsername`で知らせてほしいんだろうなあというのはわからなくもないですが。 <hr> と、ここまで書いておいて[credentials][1]がたしかにパスワードだけとも限らないので、`loadUserByUsername`にパスワードが必要ないのも不思議ではないような気もしてきました。 しかし [principal][1] と [credentials][1] は2つそろうことで機能すると思うので、パスワードによる認証を行っていた場合、どのような機構で、この2つを担保しているのでしょうか? # 参考資料 [Spring Security 使い方メモ 認証・認可 - Qiita](https://qiita.com/opengl-8080/items/032ed0fa27a239bdc1cc) > - UserDetailsService を実装したクラスを作成する。 > - UserDetailsService には loadUserByUsername(String) というメソッドが1つだけ存在する。 > - 引数でユーザーを識別するための文字列(普通はログイン画面などで入力されたユーザー名)が渡ってくるので、その識別文字列に対応するユーザー情報を返却する。 > - 対応するユーザー情報が存在しない場合は UsernameNotFoundException をスローする。 [UserDetailsService (spring-security-docs-manual 5.3.3.RELEASE API)](https://docs.spring.io/spring-security/site/docs/current/api/org/springframework/security/core/userdetails/UserDetailsService.html) > Locates the user based on the username. In the actual implementation, the search may possibly be case sensitive, or case insensitive depending on how the implementation instance is configured. In this case, the UserDetails object that comes back may have a username that is of a different case than what was actually requested.. [1]: https://docs.spring.io/spring-security/site/docs/5.4.0-M1/reference/html5/#servlet-authentication-authentication