Micronaut security无法“安全”

Question

我有一个简单的基于Micronaut的“Hello World”服务，它内置了一个简单的安全性（为了测试和演示Micronaut安全性）。下面提供了实现hello服务的服务中的控制器代码：

@Controller("/hello")
public class HelloController
{
   public HelloController()
   {
      // Might put some stuff in in the future
   }

    @Get("/")
    @Produces(MediaType.TEXT_PLAIN)
    public String index()
    {
       return("Hello to the World of Micronaut!!!");
    }
}

为了测试安全机制，我已经按照Micronaut教程说明创建了一个安全服务类：

@Singleton
public class SecurityService
{
    public SecurityService()
    {
       // Might put in some stuff in the future
    }

    Flowable<Boolean> checkAuthorization(HttpRequest<?> theReq)
    {
        Flowable<Boolean> flow = Flowable.fromCallable(()->{
           System.out.println("Security Engaged!");
           return(false);    <== The tutorial says return true
        }).subscribeOn(Schedulers.io());

        return(flow);
    }

}

应该注意，与本教程不同的是，flowable.fromCallable（）lambda返回false。在教程中，它返回true。我假设，如果返回false，安全检查将失败，并且失败将导致hello服务无法响应。

根据教程，要开始使用Security对象，必须有一个筛选器。我创建的筛选器如下所示：

@Filter("/**")
public class HelloFilter implements HttpServerFilter
{
   private final SecurityService secService;

   public HelloFilter(SecurityService aSec)
   {
      System.out.println("Filter Created!");
      secService = aSec;
   }

   @Override
   public Publisher<MutableHttpResponse<?>> doFilter(HttpRequest<?> theReq, ServerFilterChain theChain)
   {
      System.out.println("Filtering!");
      Publisher<MutableHttpResponse<?>> resp = secService.checkAuthorization(theReq)
                                                         .doOnNext(res->{
                                                            System.out.println("Responding!");
                                                         });

      return(resp);
   }
}

问题发生在我运行微服务并访问Helo world URL时。（http：//localhost:8080/hello）我无法导致对服务的访问失败。筛选器捕获所有请求，并且安全对象已启用，但似乎并不阻止对hello服务的访问。我不知道需要什么才能使访问失败。

有人能在这件事上帮忙吗？谢谢.

Answer 1

当您没有访问资源或处理请求的权限时，您需要在筛选器中更改请求。您的HelloFilter如下所示：

@Override
public Publisher<MutableHttpResponse<?>> doFilter(HttpRequest<?> theReq, ServerFilterChain theChain) {
    System.out.println("Filtering!");
    Publisher<MutableHttpResponse<?>> resp = secService.checkAuthorization(theReq)
            .switchMap((authResult) -> { // authResult - is you result from SecurityService
                if (!authResult) {
                    return Publishers.just(HttpResponse.status(HttpStatus.FORBIDDEN)); // reject request
                } else {
                    return theChain.proceed(theReq); // process request as usual
                }
            })
            .doOnNext(res -> {
                System.out.println("Responding!");
            });

    return (resp);
}

在最后一个-micronaut具有SecurityFilter的security模块，您可以使用@Securited注释或在配置文件中写入访问规则更多文档中的示例