SpringSecurity-自定义自动身份验证

Question

这是我的情况：

• 一个Web应用程序对许多应用程序执行某种SSO
• 登录的用户，而不是单击链接，该应用就会向正确的应用发布包含用户信息（名称，pwd [无用]，角色）的帖子
• 我正在其中一个应用程序上实现SpringSecurity以从其功能中受益（会话中的权限，其类提供的方法等）

因此，我需要开发一个 自定义过滤器 -我猜想-能够从请求中检索用户信息，通过自定义 DetailsUserService
从数据库检索，有关用户的更多信息（电子邮件等），然后执行身份验证该用户，根据从请求中检索的角色。

我当时在查看“ 预身份验证”过滤器，但不确定它是否是正确的选择。似乎这些对象将在主体已经处于会话中时使用，由某些先前的身份验证机制放置（是吗？）。

我认为，一旦确定了正确的过滤器，我应该需要执行以下操作：

GrantedAuthority[] ga= new GrantedAuthority[1];
ga[0] = new GrantedAuthorityImpl(myUser.getRole());

SecurityContext sc = SecurityContextHolder.getContext();
Authentication a = new UsernamePasswordAuthenticationToken(userName, userPwd, ga);
a = authenticationManager.authenticate(a);
sc.setAuthentication(a);

这是解决我的问题的正确方向吗？您有什么建议可以帮助我找到缺失的地方吗？

谢谢你们，

路卡

加成：

嗨，Xearxess！很抱歉再次打扰您，但是似乎按照SpringSecurity 2.0.4进行代码翻译比我想象的要困难得多：S问题是XML
…我尝试了不同的配置，但是我总是遇到名称空间问题，缺少属性等

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
  xmlns:security="http://www.springframework.org/schema/security"
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
  xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd
              http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.4.xsd">

    <security:http>
        <security:intercept-url pattern="/**" access="isAuthenticated()" />
        <security:logout logout-url="/logout" logout-success-url="http://milan-ias-vs.usersad.everis.int/DMTest/" invalidate-session="true" />
        <security:custom-filter position="PRE_AUTH_FILTER" ref="preAuthenticatedProcessingFilter" />
    </security:http>

    <bean id="preAuthenticatedProcessingFilter" class="it.novartis.ram.authentication.PreAuthenticatedProcessingFilter">
        <custom-filter position="PRE_AUTH_FILTER"/>
        <property name="authenticationManager" ref="authenticationManager" />
    </bean>

    <bean id="preauthAuthProvider" class="org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationProvider">
        <property name="preAuthenticatedUserDetailsService">
            <bean class="it.novartis.ram.authentication.PreAuthenticatedUserDetailsService" />
        </property>
    </bean>

    <security:authentication-manager alias="authenticationManager">
        <security:authentication-provider ref="preauthAuthProvider" />
    </security:authentication-manager>

</beans>

引用CUSTOM-FILTER元素的2行是两种不同的尝试，它们均签名为错误。如何将过滤器的位置指定为属性？

此外，有关身份验证管理器定义的身份验证提供程序参考也标记为错误。我认为我也需要像属性一样指定它，对吗？

希望你能给我最后的推动;）再次谢谢你，

路卡

Answer 1

是的，预身份验证方案正是您所需要的。

似乎这些对象将在主体已经处于会话中时使用，由某些先前的身份验证机制放置（是吗？）。

并非如此，您可以根据需要使用预身份验证PreAuthenticatedAuthenticationToken从请求中创建。只是做我的另外一个问题说明几件事情。

首先扩展AbstractPreAuthenticatedProcessingFilter以从请求中获取用户名和角色：

public class MyPreAuthenticatedProcessingFilter
    extends AbstractPreAuthenticatedProcessingFilter {

  public MyPreAuthenticatedProcessingFilter(
      AuthenticationManager authenticationManager) {
    setAuthenticationDetailsSource(new MyAuthenticationDetailsSource());
  }

  @Override
  protected Object getPreAuthenticatedPrincipal(HttpServletRequest request) {
    return "Anonymous";
  }

  @Override
  protected Object getPreAuthenticatedCredentials(HttpServletRequest request) {
    return "N/A";
  }

  public static class MyAuthenticationDetailsSource implements 
      AuthenticationDetailsSource<HttpServletRequest, MySessionUserDetails> {
    // roles probably should be encrypted somehow
    static final String ROLES_PARAMETER = "pre_auth_roles";

    @Override
    public MySessionUserDetails buildDetails(HttpServletRequest req) {
      // create container for pre-auth data
      return new MySessionUserDetails(req.getParameter(ROLES_PARAMETER));
    }
  }
}

MySessionUserDetails类将使用角色将spring拆分为List of
SimpleGrantedAuthority或任何其他GrantedAuthority实现。另外，推荐使用List并优于List
GrantedAuthority[]。

二，实施AuthenticationUserDetailsService：

public class MyPreAuthenticatedUserDetailsService implements 
    AuthenticationUserDetailsService<PreAuthenticatedAuthenticationToken> {

  @Override
  public UserDetails loadUserDetails(PreAuthenticatedAuthenticationToken token)
      throws UsernameNotFoundException {
    MySessionUserDetails sessionUserDetails =
        (MySessionUserDetails) token.getDetails();
    List<GrantedAuthority> authorities = sessionUserDetails.getAuthorities();
    return new User(token.getName(), "N/A", true, true, true, true, authorities);
  }
}

然后在XML连接块中：

<security:http use-expressions="true">
  <security:intercept-url pattern="/**" access="isAuthenticated()" />
  <security:custom-filter position="PRE_AUTH_FILTER"
      ref="myPreAuthenticationFilter" />
</security:http>

<bean id="myPreAuthenticationFilter"
    class="com.example.MyPreAuthenticatedProcessingFilter">
  <property name="authenticationManager" ref="authenticationManager" />
</bean>

<bean id="preauthAuthProvider" class="org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationProvider">
  <property name="preAuthenticatedUserDetailsService">
    <bean class="com.example.MyPreAuthenticatedUserDetailsService" />
  </property>
</bean>

<security:authentication-manager alias="authenticationManager">
  <security:authentication-provider ref="preauthAuthProvider" />
</security:authentication-manager>

瞧！您应该具有User在应用程序中使用的经过身份验证的主体。

我在这里编写的代码需要Spring Security 3.1，如果您要使用它，我强烈建议您使用它（它确实需要Spring
3.0.7+）。另外，Spring Security参考手册是您的朋友！