甚至在带有filter =“ none”的公共页面上也检索Spring Security的身份验证

Question

假设我有一个名为faq.html的简单页面。我希望此页面可以公开访问，因此我应用了通常的Spring Security配置：

<sec:intercept-url pattern="/faq.html" filters="none" />

我们还说，如果用户在身份验证后到达此页面，我想在页面上打印“ Hi Firstname
Lastname”。对于需要身份验证的页面，我只需将以下结果放入我的中ModelMap，然后可以在以后的视图中访问这些名称：

SecurityContextHolder.getContext().getAuthentication().getPrincipal()

这不适用于faq.html，大概是因为当您指定时filters="none"，然后的呼叫会getPrincipal()传回null。（此行为是有道理的，因为该配置不会应用任何过滤器。）因此，相反，我似乎不得不手动执行许多Spring
Security任务：

public static Authentication authenticate(HttpServletRequest request,
        HttpServletResponse response, SecurityContextRepository repo,
        RememberMeServices rememberMeServices) {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();

    // try to load a previous Authentication from the repository
    if (auth == null) {
        SecurityContext context = repo.loadContext(
                new HttpRequestResponseHolder(request, response));
        auth = context.getAuthentication();
    }

    // check for remember-me token
    if (auth == null) {
        auth = rememberMeServices.autoLogin(request, response);
    }

    return auth;
}

有一个更好的方法吗？例如，似乎Spring应该提供一些工具来通过原始<sec:intercept-url />配置挂接其API调用。

Answer 1

这就是不filters = "none"用于公共页面的原因。

使用access = "permitAll"代替（或者access = "IS_AUTHENTICATED_ANONYMOUSLY, IS_AUTHENTICATED_FULLY, IS_AUTHENTICATED_REMEMBERED"如果没有use-expressions = "true"）。