Spring Security 中的匿名与非匿名身份验证/用户答案

【问题标题】：Anonymous vs non-anonymous authentications/users in Spring SecuritySpring Security 中的匿名与非匿名身份验证/用户
【发布时间】：2014-08-09 22:30:32
【问题描述】：

我有一些基本的疑问，什么是匿名用户和非匿名用户。

anonymous这个词的意思是没有名字，也就是说，没有用户/密码就可以登录/访问。

我在网上搜索，我得到了一堆东西，但我无法弄清楚究竟是什么。

请清除我...请...

【问题讨论】：

标签： spring security spring-security

【解决方案1】：

如您所知，Spring Security 会自动创建一个 org.springframework.security.core.Authentication 对象，其中包含有关用户身份和执行的身份验证的信息。

匿名用户是这样的用户，已使用 org.springframework.security.web.authentication.AnonymousAuthenticationFilter 进行身份验证，并且具有 org.springframework.security.authentication 的实例.of AnonymousAuthenticationToken 作为其 Authentication 对象。

与 Spring Security 支持的其他身份验证方法不同，AnonymousAuthenticationFilter 不需要任何凭据（如密码、证书）来验证用户，但总是成功通过。

使用匿名身份验证的好处是您的应用程序始终可以依赖 Authentication 对象的可用性，否则在用户使用常规方法进行身份验证之前它会为 null。

非匿名用户是任何通过 AnonymousAuthenticationFilter 方法以外的方法进行身份验证的用户。

【讨论】：

我了解匿名可以使用令牌而不是用户/密码凭据进行访问。我说的对吗？
它甚至不需要任何令牌。用户可以在没有任何东西的情况下以匿名身份进行身份验证 = 不需要令牌、密码……。当然，您通常会在访问策略中限制匿名身份验证用户可以访问的确切内容。