Spring Security令牌身份验证+JSESSION

Question

在传统的基于cookie/JSESSION的身份验证的同时，是否可以使用基于令牌的（无状态）身份验证？

应用程序已经有一个现有的Spring MVC+Thymeleaf实现,用作管理/超级用户门户。当你登录时，你会得到一个JessionID。我们需要使用Jersey（JAX-RS）创建一个RESTful API以供客户端使用。要求是无状态的。本质上，我们仍然需要Spring MVC+Thymeleaf部分，但现在需要公开一个使用无状态身份验证的API。Spring Security是否可以这样做？

Answer 1

Spring Security支持同一应用程序中的多个配置。例如，假设无状态服务完全位于URL/API/下。对于基于XML的配置,可以使用以下大纲：

<http pattern="/api/**" create-session="stateless">
    <intercept-url pattern="/**" access="hasRole('ADMIN')" />
    <http-basic />
</http>

<http>
    <intercept-url pattern="/**" access="authenticated" />
    <form-login login-page="/login" default-target-url="/home.htm"/>
    <logout />
</http>

或Java配置的以下内容：

@EnableWebSecurity
public class MultiHttpSecurityConfig {
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) { 1
        auth
            .inMemoryAuthentication()
                .withUser("user").password("password").roles("USER").and()
                .withUser("admin").password("password").roles("USER", "ADMIN");
    }

    @Configuration
    @Order(1)                                                        2
    public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {
        protected void configure(HttpSecurity http) throws Exception {
            http
                .antMatcher("/api/**")                               3
                .authorizeRequests()
                    .anyRequest().hasRole("ADMIN")
                    .and()
                .httpBasic();
        }
    }

    @Configuration                                                   4
    public static class FormLoginWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .authorizeRequests()
                    .anyRequest().authenticated()
                    .and()
                .formLogin();
        }
    }
}