使用rest web服务的Spring MVC+Spring Security登录

Question

我有一个SpringMVC web应用程序，它需要通过发送用户名和密码，使用Spring Security对RESTful web服务进行身份验证。当记录用户时，需要将cookie设置为用户的浏览器，并且在随后的调用中使用cookie与另一个RESTful web服务验证用户会话。

我四处寻找，但一直未能找到如何完成这一点的好例子，所有的尝试都是徒劳的。

这两个服务每次都返回用户的权限，并且spring security是“无状态”的。

另一方面，我怀疑自己这种方法是否正确，因为很难找到一个有同样问题的例子或其他人。这种做法是错误的吗？

我之所以要这样做，而不是仅仅进行JDBC身份验证，是因为我的整个web应用程序是无状态的，并且数据库总是通过封装“请求队列”的RESTful web服务访问的，我也希望尊重这一点来进行用户身份验证和验证。

1. 使用带有AuthenticationSuccessHandler的自定义authenticationFilter。显然不起作用，因为用户已在此点登录。
2. 实现entry-point-ref筛选器。
3. 在basic_auth_filter位置执行自定义筛选
4. 创建一个自定义身份验证提供程序（苦苦挣扎，没有运气！）。我正在重试此操作，同时得到一些答案。
5. 当我开始使用CAS时，我决定改写一个问题。也许将来我可以考虑在我的webapp中安装一个CAS服务器，但目前看来，这似乎是一个巨大的矫枉过正。

提前道谢！

顺便说一句，我使用的是Spring Security 3.1.4和Spring MVC 3.2.3

<http use-expressions="true" create-session="stateless" entry-point-ref="loginUrlAuthenticationEntryPoint"
        authentication-manager-ref="customAuthenticationManager">
    <custom-filter ref="restAuthenticationFilter" position="FORM_LOGIN_FILTER" />
    <custom-filter ref="restPreAuthFilter" position="PRE_AUTH_FILTER" />
    <intercept-url pattern="/signin/**" access="permitAll" />
    <intercept-url pattern="/img/**" access="permitAll" />
    <intercept-url pattern="/css/**" access="permitAll" />
    <intercept-url pattern="/js/**" access="permitAll" />
    <intercept-url pattern="/**" access="hasRole('ROLE_USER')" />

</http>

<authentication-manager id="authManager" alias="authManager">
    <authentication-provider ref="preauthAuthProvider" />
</authentication-manager>

<beans:bean id="restPreAuthFilter" class="com.company.CustomPreAuthenticatedFilter">
    <beans:property name="cookieName" value="SessionCookie" />
    <beans:property name="checkForPrincipalChanges" value="true" />
    <beans:property name="authenticationManager" ref="authManager" />
</beans:bean>

<beans:bean id="preauthAuthProvider"
    class="com.company.CustomPreAuthProvider">
    <beans:property name="preAuthenticatedUserDetailsService">
        <beans:bean id="userDetailsServiceWrapper"
            class="org.springframework.security.core.userdetails.UserDetailsByNameServiceWrapper">
            <beans:property name="userDetailsService" ref="userDetailsService" />
        </beans:bean>
    </beans:property>
</beans:bean>

<beans:bean id="userDetailsService" class="com.company.CustomUserDetailsService" />

<beans:bean id="loginUrlAuthenticationEntryPoint"
    class="org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint">
    <beans:constructor-arg value="/signin" />
</beans:bean>

<beans:bean id="customAuthenticationManager"
    class="com.company.CustomAuthenticationManager" />

<beans:bean id="restAuthenticationFilter"
    class="com.company.CustomFormLoginFilter">
    <beans:property name="filterProcessesUrl" value="/signin/authenticate" />
    <beans:property name="authenticationManager" ref="customAuthenticationManager" />
    <beans:property name="authenticationFailureHandler">
        <beans:bean
            class="org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler">
            <beans:property name="defaultFailureUrl" value="/login?login_error=t" />
        </beans:bean>
    </beans:property>
</beans:bean>

定制实现如下所示：

// Here, the idea is to write authenticate method and return a new UsernamePasswordAuthenticationToken
public class CustomAuthenticationManager implements AuthenticationManager { ... }

// Write attemptAuthentication method and return UsernamePasswordAuthenticationToken 
public class CustomFormLoginFilter extends UsernamePasswordAuthenticationFilter { ... }

// Write getPreAuthenticatedPrincipal and getPreAuthenticatedCredentials methods and return cookieName and cookieValue respectively
public class CustomPreAuthenticatedFilter extends AbstractPreAuthenticatedProcessingFilter { ... }

// Write authenticate method and return Authentication auth = new UsernamePasswordAuthenticationToken(name, token, grantedAuths); (or null if can't be pre-authenticated)
public class CustomPreAuthProvider extends PreAuthenticatedAuthenticationProvider{ ... }

// Write loadUserByUsername method and return a new UserDetails user = new User("hectorg87", "123456", Collections.singletonList(new GrantedAuthorityImpl("ROLE_USER")));
public class CustomUserDetailsService implements UserDetailsService { ... }

Answer 1

1. 您可以通过扩展AbstractPreAuthenticatedProcessingFilter来定义自定义预身份验证筛选器。
2. 在getPreAuthenticatedPrincipal（）方法的实现中，您可以检查cookie是否存在，如果它存在，则返回cookie名称为主体和凭据中的cookie值。
3. 使用PreAuthenticatedAuthenticationProvider并提供自定义的preAuthenticatedUserDetailsService来检查cookie是否有效，如果其有效还提取授予的权限，则抛出AttenticationException（如BadCredentialsException）
4. 要使用用户名/密码对用户进行身份验证，请添加表单登录筛选器、基本筛选器或带有自定义身份验证提供程序（或自定义userdetailsService）的自定义筛选器，以验证用户/密码

如果cookie存在，预身份验证过滤器将在springContext中设置已验证的用户和您的用户名。/password过滤器将不会被调用，如果cookie不存在/无效，身份验证入口点将触发使用用户名/密码的身份验证

希望有帮助