Spring自定义身份验证过滤器和提供程序不调用控制器的方法
2022-09-04 23:09:20
我正在尝试使用最新版本的Spring Boot,Web和Security实现自定义身份验证逻辑,但我正在努力解决一些问题。我在类似的问题/教程中尝试了许多解决方案,但没有成功或理解实际发生的事情。
我正在创建一个具有无状态身份验证的REST应用程序,即有一个REST端点(/web/auth/login)需要用户名和密码并返回一个字符串令牌,然后在所有其他REST端点(/api/**)中使用该端点来标识用户。我需要实现一个自定义解决方案,因为身份验证将来会变得更加复杂,我想了解Spring Security的基础知识。
为了实现令牌身份验证,我正在创建自定义筛选器和提供程序:
过滤器:
public class TokenAuthenticationFilter extends AbstractAuthenticationProcessingFilter {
public TokenAuthenticationFilter() {
super(new AntPathRequestMatcher("/api/**", "GET"));
}
@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException, IOException, ServletException {
String token = request.getParameter("token");
if (token == null || token.length() == 0) {
throw new BadCredentialsException("Missing token");
}
UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(token, null);
return getAuthenticationManager().authenticate(authenticationToken);
}
}
提供商:
@Component
public class TokenAuthenticationProvider implements AuthenticationProvider {
@Autowired
private AuthenticationTokenManager tokenManager;
@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
String token = (String)authentication.getPrincipal();
return tokenManager.getAuthenticationByToken(token);
}
@Override
public boolean supports(Class<?> authentication) {
return UsernamePasswordAuthenticationToken.class.equals(authentication);
}
}
配置:
@EnableWebSecurity
@Order(1)
public class TokenAuthenticationSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private TokenAuthenticationProvider authProvider;
@Override
protected void configure(HttpSecurity http) throws Exception {
http.antMatcher("/api/**")
.csrf().disable()
.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
.and().addFilterBefore(authenticationFilter(), BasicAuthenticationFilter.class);
}
@Bean
public TokenAuthenticationFilter authenticationFilter() throws Exception {
TokenAuthenticationFilter tokenProcessingFilter = new TokenAuthenticationFilter();
tokenProcessingFilter.setAuthenticationManager(authenticationManager());
return tokenProcessingFilter;
}
@Override
public void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.authenticationProvider(authProvider);
}
}
提供程序(以及登录过程中)中使用的 AuthenticationTokenManager:
@Component
public class AuthenticationTokenManager {
private Map<String, AuthenticationToken> tokens;
public AuthenticationTokenManager() {
tokens = new HashMap<>();
}
private String generateToken(AuthenticationToken authentication) {
return UUID.randomUUID().toString();
}
public String addAuthentication(AuthenticationToken authentication) {
String token = generateToken(authentication);
tokens.put(token, authentication);
return token;
}
public AuthenticationToken getAuthenticationByToken(String token) {
return tokens.get(token);
}
}
会发生什么:我在请求中将有效令牌附加到“/api/bla”(这是返回一些Json的REST控制器)。筛选器和提供程序都会被调用。问题是,浏览器被重定向到“/”,而不是调用REST控制器的请求方法。这似乎发生在SaveRequestAwareAuthenticationSuccessHandler中,但是为什么使用这个处理程序呢?
我试过了
- 实现空的成功处理程序,导致 200 状态代码,但仍未调用控制器
- 在简单的 GenericFilterBean 中进行身份验证,并通过 SecurityContextHolder.getContext().setAuthentication(authentication) 设置身份验证对象,这会导致“错误的凭据”错误页面。
我想了解为什么在对令牌进行身份验证后未调用我的控制器。除此之外,是否有一种“Spring”方法来存储令牌,而不是将其存储在Map中,就像SecurityContextRepository的自定义实现一样?
我真的很感激任何提示!