Spring Security令牌身份验证-RESTful JSON服务

Question

将有一个Angular JS客户机应用程序，它将需要发送用户名和密码，并从应用程序获取令牌，以便在顺序请求中使用。在某些时候，可能也会有Android客户端访问此web服务。

我假设Spring Security在内部将令牌映射到用户会话，这意味着它知道令牌XXXXXXXXXXXX是管理用户Bob，令牌AAAAAAAAAA是标准用户Joe。然而，我对Spring Security没有太多的经验，所以我不知道这一切是如何结合在一起的。我仍然希望能够在控制器和服务方法上使用安全注释。

在Spring Security中有什么方法可以实现这一点吗？

这个问题似乎是一个很好的开始，但我不确定这是否能像我设想的那样通过Spring进行RESTful身份验证。

Answer 1

这将是一个很好的地方开始与SpringRest样板。

1. 您必须第一次使用http基本身份验证，然后登录（发送用户名/密码），这将返回令牌。
2. 在后续请求中，您将使用此令牌进行身份验证。
3. 您必须向链中添加一个筛选器，以便根据令牌进行身份验证。

你必须想出一个令牌格式和加密。理想情况下，您还需要为令牌保留一个到期时间，到期时间和用户名可能是令牌的一部分。使用 <罢工> 加密算法 像MD5这样的加密哈希函数，并获取整个令牌的哈希。

编辑：正如Maciej St Ventpyra所指出的，MD5似乎被破坏了，它被建议使用更强的散列函数，如SHA-256。

Spring security默认情况下会将您重定向到登录页面，但这在REST的情况下没有意义，因此在配置（参考示例github代码）中使用自定义的authenticationentrypoint。

我的令牌使用此格式:令牌：username：hash：expiry

Hash=MD5（用户名+MagicKey)

expiry=current_timestamp+mins_to_expiry

 <security:http realm="Protected API" use-expressions="true" auto-config="false" create-session="always" entry-point-ref="**CustomAuthenticationEntryPoint**">
        <security:custom-filter ref="**authenticationTokenProcessingFilter**" position="PRE_AUTH_FILTER" />
        <security:intercept-url pattern="/**" access="isAuthenticated()" />
 </security:http>