使用Spring security在REST中使用标签访问私人图像

Question

当前情景

Spring项目使用Spring Security和JWT保护REST API。这些API产生JSON响应。实现了一个UsernamePasswordAuthenticationFilter，用于验证在授权头中发送的JWT。经过身份验证和未经身份验证的API均按预期工作。

要求

现在我需要在HTTP响应中为登录用户发送一个图像。

解决方案

发送一个byte[]，将图像表示为图像键的值以及其他信息。但是，如果图像很大，这可能需要一些时间才能获得完整的JSON响应。

解决方案2

将链接作为值与其他信息一起发送到“图像”键。客户端可以分配

我的问题

我更喜欢解决方案2。但由于没有有效的授权令牌，它将产生未授权异常。此外，此API必须经过身份验证。

经过一些搜索，发现了这一点，这是我的要求相同。公认的答案是，

OAuth承载令牌规范支持将令牌作为查询参数发送。

这是我必须做的吗？

• 在我的Spring过滤器中，从Authorization头中获取JWT，如果它为空，则从请求中获取。getParameter（）
• 在第一个API的JSON响应中，发送“image”：http://ip/getImage?token=dbscsbCXV“
• 创建一个API@GetMapping（“getImage”）字节[]getImage（）

还是有更好的方法？请引导我。




Answer 1

如果您：

• 对服务器使用HTTPS，否则请求头中的JWT令牌将被公开（授权头也是如此）

另一种方法可能是生成一个具有足够熵的随机密钥（例如，将3个UUID组合成一个字符串），并将其与图像实体一起存储，从REST服务返回，例如：

https://ip/images/824b6854-edcc-11e6-bc64-92361f0026713567fef0-549a-4cdb-9264-5e15166dfd6f/the-file-name.pdf

确保禁用这些“公共”路径的Spring Security过滤器。

这种方法的优点：

• 无需检查此资源的身份验证
• （如果图像没有改变很多）您可以缓存或通过CDN提供内容，而不是每次都只是流图像。
• URL将继续工作，即使认证的JWT令牌更改

你可能会认为这比使用每次通话身份验证更不安全，但如果ID有足够的熵，它是防水的。Facebook也使用这个概念(https://www.quora.com/Are-Facebook-pictures-really-private-and-are-they-hosted-on-Facebook-servers, https://en.wikipedia.org/wiki/Capability-based_security)