使用Spring boot预授权和自定义AuthenticationFilter

Question

我有自定义的身份验证筛选器，它创建PreAuthenticatedAuthenticationToken并将其存储在安全上下文中。过滤器工作良好，它创建具有相应授权权限的令牌“role_user”和“role_adminuser”。这是我的配置：

@Configuration
@EnableWebMvcSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        X509AuthenticationFilter filter = new X509AuthenticationFilter()
        filter.setAuthenticationManager(authenticationManager())
        http.addFilterAfter(filter, SecurityContextPersistenceFilter.class)
        http.authorizeRequests().anyRequest().permitAll()
    }

    @Bean
    public FilterRegistrationBean filterRegistrationBean() {
        FilterRegistrationBean registrationBean = new FilterRegistrationBean()
        X509AuthenticationFilter filter = new X509AuthenticationFilter()
        filter.setAuthenticationManager(authenticationManager())
        registrationBean.setFilter(filter)
        registrationBean.setEnabled(false)
        return registrationBean
    }

我将在SecurityContextPersistenceFilter之前插入过滤器，如：Spring security and custom AuthenticationFilter with Spring Boot所述。

但是，当我试图向controller方法添加预授权注释时，这似乎可以很好地工作，如下所示：

@Controller
@RequestMapping("/security")
class SecurityController {

    @RequestMapping("/authenticate")
    @PreAuthorize("hasRole('ROLE_user')")
    @ResponseBody
        ResponseEntity<String> authenticate(HttpServletRequest request,     Principal principal) {
        println "authenticate: " +     SecurityContextHolder.getContext().getAuthentication()

        return new ResponseEntity<String>(getPreAuthenticatedPrincipal(request), HttpStatus.OK)
    }

我得到一个404错误。如果我注释掉了PreAuthorize注释，方法调用就会正常工作，您可以看到我打印出了身份验证信息，通过身份验证的用户具有ROLE_user和ROLE_adminuser作为其授予的权限。我不确定我做错了什么。

下面是当“preauthorize”被注释掉时，主体中的authorization对象的打印：

authenticate:org.springframework.security.web.authentication.preauthenticatedauthenticationtoken@817a0240:principal:org.springframework.security.ldap.userdetails.ldapuserdetailsimpl@c279eab8:dn:uid=1,ou=people,dc=cdpe,dc=mil；用户名:[e-mail]；密码:[受保护]；已启用：true；AccountNonExpired：true；CredentialsNonExpired：true；AccountNonLocked：true；授予的权限:ROLE_adminuser,ROLE_USER；全权证书:[受保护]；已认证：真实；详细信息:org.springframework.security.web.authentication.webauthenticationdetails@957e:RemoteIpAddress:127.0.0.1；SessionID：null；授予的权限:ROLE_adminuser,ROLE_user权限:[ROLE_adminuser,ROLE_user]

更新：我有一点进步。我将proxyTargetClass添加到以下注释中：

 @EnableGlobalMethodSecurity(prePostEnabled = true, proxyTargetClass = true)

现在，当我调用我的方法时，我得到了403个禁止返回。我不知道那是怎么回事。

Answer 1

Spring Security配置起来一直很繁琐，唯一万无一失的方法是：

• 要么成为这方面的专家，并准备好查找源代码，然后您就可以手工完成困难的事情
• 或尽可能使用框架提供的内容，尽可能使用文档中的示例

对于X509AuthenticationFilter的配置，HttpSecurityjavadoc给出了X509方法，其示例如下（根据您的配置进行了修改-参见javadoc获得原始配置）：

@Configuration
@EnableWebMvcSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {    

     @Override
     protected void configure(HttpSecurity http) throws Exception {
         http
             .authorizeRequests().anyRequest().permitAll()
             // Example x509() configuration
             .x509();
     }
 }

方法返回x509configureer以进行进一步的自定义。

除非你有一个很好的理由去做不同的事情（如果是这样的话，请说出来），我强烈建议你坚持那种方法。

但是在控制器上使用前/后注释实在是一个坏主意，因为在httpsecurity配置中可以直接完成这些操作。它迫使您使用proxyTargetClass=true。