详情见 UsernamePasswordAuthenticationToken 这完全取决于您，如果您以后在应用程序中需要来自已验证用户的更多详细信息，它会有所帮助。比如你打电话的时候 SecurityContextHolder.getContext().getAuthentication() ，你可以投这个 Authentication 到 UsernamePasswordAuthenticationToken 并出于任何商业目的访问其详细信息；
你的 UsernamePasswordAuthenticationToken 没有针对任何内容进行验证，您需要通过调用 UserDetailsService 检查密码，或者打电话 AuthenticationManager#authenticate 方法。spring security不关心 SecurityContextHolder 人口众多。在基本场景中，在设置经过身份验证的 SecurityContext 进入 SecurityContextHolder 这个 SecurityContextPersistenceFilter 我要这个 SecurityContext 并保存在 HttpSession 作为一种属性。在接下来的请求中，此属性将出现在 HttpSession ，这样spring security将加载 SecurityContext 并将其设置为 SecurityContextHolder .
您可以在 SecurityContextPersistenceFilter 实现，但我将在这里指出这个问题的具体部分：

HttpRequestResponseHolder holder = new HttpRequestResponseHolder(request, response);
// Here Spring Security loads the SecurityContext from the HttpSession, this is done before reaching your controllers, before calling the FilterChain.
SecurityContext contextBeforeChainExecution = this.repo.loadContext(holder); 
try {
    SecurityContextHolder.setContext(contextBeforeChainExecution);
    if (contextBeforeChainExecution.getAuthentication() == null) {
        logger.debug("Set SecurityContextHolder to empty SecurityContext");
    }
    else {
        if (this.logger.isDebugEnabled()) {
            this.logger
                        .debug(LogMessage.format("Set SecurityContextHolder to %s", contextBeforeChainExecution));
        }
    }
    chain.doFilter(holder.getRequest(), holder.getResponse());
}
finally {
    // You've populated the SecurityContextHolder and it'll be available here after you application returns. So it'll get the SecurityContext and persist it in the HttpSession
    SecurityContext contextAfterChainExecution = SecurityContextHolder.getContext();
    SecurityContextHolder.clearContext();
    // Persisting the SecurityContext in the HttpSession
    this.repo.saveContext(contextAfterChainExecution, holder.getRequest(), holder.getResponse());
    request.removeAttribute(FILTER_APPLIED);
    this.logger.debug("Cleared SecurityContextHolder to complete request");
}

我希望这能帮助您更好地理解Spring Security 是如何工作的。还有一个参考文档，它是了解更多架构细节的好来源。