Spring Boot/Spring Security根据路径在多个身份验证提供者之间进行选择

Question

我这样配置了我的应用程序：

我有两个身份验证提供程序(provider1和provider2)，我希望将它们用于不同的endpoint：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/api/v1").authenticated();
    http.authorizeRequests().antMatchers("/api/v2").authenticated();
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(provider1);
    auth.authenticationProvider(provider2);
}

现在发生的情况是，如果我调用/api/v2provider1将被调用，如果没有引发异常或返回false，则只调用provider2。

// In org.springframework.security.authentication.ProviderManager

for (AuthenticationProvider provider : getProviders()) {
        try {
            result = provider.authenticate(authentication);

            if (result != null) {
                copyDetails(authentication, result);
                break;
            }
        }
        ...
        ...
}

如何使当我点击/api/v2时，只调用provider2？

类似于这样：

http.authorizeRequests().antMatchers("/api/v2")
    .authenticated().authenticationProvider(provider2);

（我知道在HttpSecurity上有一个AuthenticationProvider，这与调用AuthenticationManagerBuilder#AuthenticationProvider完全相同）




Answer 1

您可以将自定义过滤器添加到Spring Security filter链中，该链尝试使用自定义身份验证实现授权请求。在调用AuthenticationManager.Authenticate（）时，可以传入自定义身份验证的实例。然后确保更新了自定义提供程序的supports（class<？>authentication）方法，以只接受自定义身份验证类。

然后，可以使用AntMatchers将自定义筛选器应用于特定endpoint的安全筛选器链。