API的Spring webflux自定义身份验证

Question

我正在为Angular 5应用程序创建API。我希望使用JWT进行身份验证。
我希望使用spring security提供的特性，以便能够轻松地处理角色。

我只想在返回JWT令牌的控制器中进行的登录。但是我应该使用什么Spring Securitybean来检查用户凭据呢？我可以构建自己的服务和存储库，但我希望尽可能使用spring security提供的特性。

这个问题的简短版本只是:
我如何自定义spring Security的身份验证？
我必须创建哪些bean？
我必须将配置放在哪里？（我现在有一个SecurityWebFilterChainbean)

关于使用spring security在webflux中进行身份验证的唯一文档是:https://docs.spring.io/spring-security/site/docs/5.0.0.build-snapshot/reference/htmlsingle/#jc-webflux

Answer 1

经过大量的搜索和尝试,我想我找到了解决办法：

您需要包含所有配置的SecurityWebFilterChainbean。
这是我的：

@Configuration
public class SecurityConfiguration {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private SecurityContextRepository securityContextRepository;

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        // Disable default security.
        http.httpBasic().disable();
        http.formLogin().disable();
        http.csrf().disable();
        http.logout().disable();

        // Add custom security.
        http.authenticationManager(this.authenticationManager);
        http.securityContextRepository(this.securityContextRepository);

        // Disable authentication for `/auth/**` routes.
        http.authorizeExchange().pathMatchers("/auth/**").permitAll();
        http.authorizeExchange().anyExchange().authenticated();

        return http.build();
    }
}

我已经禁用了httpBasic、formLogin、csrf和logout，以便可以进行自定义身份验证。

通过设置authenticationManager和securitycontextrepository，我覆盖了默认的Spring Security配置，用于检查用户是否通过了请求的身份验证/授权。

身份验证管理器：

@Component
public class AuthenticationManager implements ReactiveAuthenticationManager {

    @Override
    public Mono<Authentication> authenticate(Authentication authentication) {
        // JwtAuthenticationToken is my custom token.
        if (authentication instanceof JwtAuthenticationToken) {
            authentication.setAuthenticated(true);
        }
        return Mono.just(authentication);
    }
}

我不完全确定身份验证管理器的用途，但我认为是为了进行最终身份验证，因此在一切都正确时设置authentication.setauthenticated(true)；。

安全ContextRepository：

@Component
public class SecurityContextRepository implements ServerSecurityContextRepository {

    @Override
    public Mono<Void> save(ServerWebExchange serverWebExchange, SecurityContext securityContext) {
        // Don't know yet where this is for.
        return null;
    }

    @Override
    public Mono<SecurityContext> load(ServerWebExchange serverWebExchange) {
        // JwtAuthenticationToken and GuestAuthenticationToken are custom Authentication tokens.
        Authentication authentication = (/* check if authenticated based on headers in serverWebExchange */) ? 
            new JwtAuthenticationToken(...) :
            new GuestAuthenticationToken();
        return new SecurityContextImpl(authentication);
    }
}

在加载中，我将根据ServerWebExchange中的头检查用户是否通过了身份验证。我使用https://github.com/jwtk/jjwt。如果用户是否通过了身份验证，我将返回不同类型的身份验证令牌。