如何在Spring Security / SpringMVC中手动设置经过身份验证的用户

authentication java spring-mvc spring-security

2022-08-31 08:58:44

新用户提交“新帐户”表单后，我想手动登录该用户，这样他们就不必在后续页面上登录。

通过弹簧安全拦截器的正常表单登录页面工作正常。

在新帐户表单控制器中，我正在创建一个UsernamePasswordAuthenticationToken，并在SecurityContext中手动设置它：

SecurityContextHolder.getContext().setAuthentication(authentication);

在同一页面上，我稍后检查用户是否登录了：

SecurityContextHolder.getContext().getAuthentication().getAuthorities();

这将返回我之前在身份验证中设置的权限。一切都很好。

但是，当我加载的下一页上调用相同的代码时，身份验证令牌只是UserAnonymous。

我不清楚为什么它没有保留我在上一个请求上设置的身份验证。有什么想法吗？

这是否与会话 ID 设置不正确有关？
是否有某些东西可能以某种方式覆盖了我的身份验证？
也许我只需要另一个步骤来保存身份验证？
或者，我需要做些什么来声明整个会话中的身份验证，而不是以某种方式声明单个请求？

只是寻找一些想法，可能有助于我看到这里发生了什么。

答案 1

我找不到任何其他完整的解决方案，所以我想我会发布我的。这可能有点黑客攻击，但它解决了上述问题：

public void login(HttpServletRequest request, String userName, String password)
{

    UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(userName, password);

    // Authenticate the user
    Authentication authentication = authenticationManager.authenticate(authRequest);
    SecurityContext securityContext = SecurityContextHolder.getContext();
    securityContext.setAuthentication(authentication);

    // Create a new session and add the security context.
    HttpSession session = request.getSession(true);
    session.setAttribute("SPRING_SECURITY_CONTEXT", securityContext);
}

答案 2

不久前，我遇到了和你一样的问题。我不记得细节，但下面的代码为我工作。此代码在 Spring Webflow 流中使用，因此是 RequestContext 和 ExternalContext 类。但与您最相关的部分是 doAutoLogin 方法。

public String registerUser(UserRegistrationFormBean userRegistrationFormBean,
                           RequestContext requestContext,
                           ExternalContext externalContext) {

    try {
        Locale userLocale = requestContext.getExternalContext().getLocale();
        this.userService.createNewUser(userRegistrationFormBean, userLocale, Constants.SYSTEM_USER_ID);
        String emailAddress = userRegistrationFormBean.getChooseEmailAddressFormBean().getEmailAddress();
        String password = userRegistrationFormBean.getChoosePasswordFormBean().getPassword();
        doAutoLogin(emailAddress, password, (HttpServletRequest) externalContext.getNativeRequest());
        return "success";

    } catch (EmailAddressNotUniqueException e) {
        MessageResolver messageResolvable 
                = new MessageBuilder().error()
                                      .source(UserRegistrationFormBean.PROPERTYNAME_EMAIL_ADDRESS)
                                      .code("userRegistration.emailAddress.not.unique")
                                      .build();
        requestContext.getMessageContext().addMessage(messageResolvable);
        return "error";
    }

}


private void doAutoLogin(String username, String password, HttpServletRequest request) {

    try {
        // Must be called from request filtered by Spring Security, otherwise SecurityContextHolder is not updated
        UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(username, password);
        token.setDetails(new WebAuthenticationDetails(request));
        Authentication authentication = this.authenticationProvider.authenticate(token);
        logger.debug("Logging in with [{}]", authentication.getPrincipal());
        SecurityContextHolder.getContext().setAuthentication(authentication);
    } catch (Exception e) {
        SecurityContextHolder.getContext().setAuthentication(null);
        logger.error("Failure in autoLogin", e);
    }

}