Spring Security HeaderPreAuthentication主体未从

Question

我有一个现有的Spring Boot应用程序，它通过第三方身份验证服务对web应用程序进行身份验证。与SiteMinder一样，第三方服务向HTTP请求注入一个报头，例如user_header。我的任务是配置现有的应用程序来提取这个HTTP头，并通过Spring Security@AuthenticatedPrincipal注释使生成的Auth对象可供MVC层的控制器使用。

注意，这个应用程序只是Java配置。不允许使用XML（我的领导授权）

通过阅读Spring Security reference和其他各种文章，我知道需要使用RequestHeaderAuthenticationFilter并将其注入到过滤器链中，以便从请求头中获取用户名。

过滤器：

public class HeaderAuthenticationFilter extends RequestHeaderAuthenticationFilter {
    private static final Logger logger = LoggerFactory.getLogger(HeaderAuthenticationFilter.class);
    private final String HEADER = "USER_HEADER";

    public HeaderAuthenticationFilter() {
        super();
        this.setPrincipalRequestHeader(HEADER);

        // This setting returns an HTTP 404 with no error message instead of an HTTP 500 with the "missing header" exception message
        this.setExceptionIfHeaderMissing(false);
    }

    @Override
    protected Object getPreAuthenticatedPrincipal(HttpServletRequest request) {
        logger.debug("Authorizing URI: " + request.getRequestURI());

        try {
            return super.getPreAuthenticatedPrincipal(request);
        } catch(PreAuthenticatedCredentialsNotFoundException e) {
            logger.error("Could not find request header " + HEADER + " in request", e);
            return null;
        }
    }
}

谢谢，如果需要更多的细节，请让我知道！

Answer 1

@AuthenticationPrincipal未能解析的原因是，我没有用@enableWebMVCSecurity注释我的WebSecurityConfigurerAdapter类

添加这个注释解决了这个问题