以编程方式使用Spring Security

Question

我将Wicket与Wicket Auth Project一起用于表示层，因此将其与Spring
Security集成在一起。这是Wicket调用的身份验证方法：

@Override
public boolean authenticate(String username, String password) {
    try {
        Authentication request = new UsernamePasswordAuthenticationToken(
                username, password);
        Authentication result = authenticationManager.authenticate(request);
        SecurityContextHolder.getContext().setAuthentication(result);
    } catch (AuthenticationException e) {
        return false;
    }
    return true;
}

我的Spring Security XML配置的内容（里面）是：

<http path-type="regex">
    <form-login login-page="/signin"/>
<logout logout-url="/logout" />
</http>
<global-method-security secured-annotations="enabled" />
<authentication-manager alias="authenticationManager"/>
<authentication-provider user-service-ref="userService">
    <password-encoder ref="bcryptpasswordencoder" />
</authentication-provider>

2.3.6节。参考文档的会话固定攻击防护说：

会话固定攻击是一种潜在的风险，恶意攻击者有可能通过访问站点来创建会话，然后诱使另一个用户以相同的会话登录（通过向他们发送包含会话标识符作为参数的链接，以便例）。Spring
Security通过在用户登录时创建一个新会话来自动防御这种情况。如果您不需要此保护，或者与其他要求冲突，则可以使用上的session-
fixation-protection属性来控制行为。有三个选项：

• migrateSession-创建一个新会话，并将现有会话属性复制到新会话。这是默认值。
• 无-不做任何事情。原始会话将保留。
• newSession-创建一个新的“干净”会话，而不复制现有会话数据。
  

身份验证是可行的，但是作为Spring Security的新手，我也有一些问题，我也需要答案：

• 通常，对于登录，我会将身份验证信息发布到，j_spring_security_check然后让Spring Security执行实际的身份验证代码。我想防御会话固定攻击，像我一样执行程序化登录时可以得到保护吗？如果没有，我该怎么做才能得到它？
• 如何执行程序化注销？
• 当我将使用程序化登录和注销时，如何禁用Spring截获这些URL？

更新：
为了保护会话固定攻击，似乎我需要使用签名调用SessionUtils类中的方法startNewSessionIfRequired(HttpServletRequest request, boolean migrateAttributes, SessionRegistry sessionRegistry)。

如何获取需要传递的SessionRegistry实例？我找不到任何为其创建别名ID的方法，也找不到如何获取其ID或名称的方法。

Answer 1

也许这不是您问题的完整答案，但也许可以帮到您。

当您不使用程序化登录名时会调用该代码，但可以在此处找到标准的代码：

org.springframework.security.ui.webapp.AuthenticationProcessingFilter

我想您的代码启发了您。看起来很相似。

同样/j_spring_security_logout，在标准方法中访问时执行的代码也位于以下位置：

org.springframework.security.ui.logout.LogoutFilter

LogoutFilter调用多个处理程序。我们使用的处理程序称为：
org.springframework.security.ui.logout.SecurityContextLogoutHandler，因此您可以在方法中调用相同的代码。