Spring Securityでのログインにおける、WebSecurityConfigurerAdapterを継承したクラスについて

Question

質問

Spring Bootを使って開発をしており、Spring Securityを使ったログインについて、ネットに書かれているコードなどを見ながら調べています。

Spring Securityでは認証に際してWebSecurityConfigAdapterを継承したクラスを実装し、以下のようなコードを書くと思います。ここではコードの下部においてGlobalAuthenticationConfigurerAdapterを継承するインナークラスを使っていますが(別のファイルに書いているコードもありました)、この部分について質問があります。

@Configuration
@EnableWebMvcSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
	
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception
    {
        // 認可の設定
        httpSecurity
        	.authorizeRequests()
        	.antMatchers("/login").permitAll()
        	.anyRequest().authenticated();
        
        // ログイン設定
        httpSecurity
        	.formLogin()
        	.loginProcessingUrl("/login")
        	.loginPage("/login")
        	.failureHandler(new SampleAuthenticationFailureHandler())
        	.usernameParameter("username")
        	.passwordParameter("password")
        	.defaultSuccessUrl("/")
        	.and();
        
        // ログアウト設定
        httpSecurity
                .logout()
                .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
                .logoutSuccessUrl("/login"); 
    }
    
    @Configuration
    protected static class AuthenticationConfiguration extends GlobalAuthenticationConfigurerAdapter {
        @Autowired
        UserDetailsService userDetailsService;

        @Override
        public void init(AuthenticationManagerBuilder auth) throws Exception {
            // 認証するユーザーを設定する
            auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());
        }
    }
}

上記のコードでは、GlobalAuthenticationConfigurerAdapterを継承するクラスを実装し、init()という関数をオーバーライドすれば動くのか、となんとなくわかるのですが、下記のようなコードも見られることがわかりました。(最後のconfigureGlobal()以外の部分は同じです)

@Configuration
@EnableWebMvcSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
	
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception
    {
        // 認可の設定
        httpSecurity
        	.authorizeRequests()
        	.antMatchers("/login").permitAll()
        	.anyRequest().authenticated();
        
        // ログイン設定
        httpSecurity
        	.formLogin()
        	.loginProcessingUrl("/login")
        	.loginPage("/login")
        	.failureHandler(new SampleAuthenticationFailureHandler())
        	.usernameParameter("username")
        	.passwordParameter("password")
        	.defaultSuccessUrl("/")
        	.and();
        
        // ログアウト設定
        httpSecurity
                .logout()
                .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
                .logoutSuccessUrl("/login"); 
    }
    
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth, UserDetailsService userDetailsService) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());
    }
}

この書き方だと、configureGlobal()は他のメソッドをオーバーライドしたりしているわけでもないように見え、どのタイミングでどう呼ばれるのかすら不明なのですが、なぜこのコードで問題なく動くのか、わかる方がいらっしゃれば教えていただけると助かります。
よろしくお願いいたします。

Comments

[退会済みユーザー]

https://teratail.com/questions/193226 と同じことをきいてるよね

Answer 1

SpringSecurityの公式コードや各種まとめ記事などでも暗黙的にconfigureGlobalで書かれていて、特別な命名によって動いているかと錯覚しがちですが、実はメソッド名は何でもよく、動いている仕組みは

@Configuration
@EnableWebMvcSecurity ( ← SpringBoot2.xくらいから非推奨で、つけなくても最初から有効になっている )

で、Spring利用時の設定クラスであることを宣言しており、すでにSpringSecurityの設定も利用する宣言も有効になっているなら、

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth, UserDetailsService userDetailsService) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());
    }

で引数に指定している AuthenticationManagerBuilderやUserDetailsServiceを @Autowired で引っ張ってくる＝つまりSpring管理下にあるこれら2つのSpringSecirutyに含まれるクラスをSpringから取り出し、このメソッドへ割り当てることを意味します。
つまり、よく見かけるこの configureGlobalメソッドの名は、実際には何の因果関係もありません。

どちらかというと、@Autowiredで宣言されたメソッドの引数である AuthenticationManagerBuilder に用事があります。

---

他のSpring管理下にあるインスタンスの別名やクラス名そのものと重複しなければ何でも良いわけで、globalと名前をつけた意味は、私の勝手な推察ですが「SpringSecurityを使った認証の、全般的な動作を設定するAuthenticationManagerBuilderを扱うから」の意味でglobalが与えられているのでしょう。