为什么是Spring。安全使用者名称和密码不适用于通过Spring Boot 2使用的Spring cloud配置服务器？

Question

我正在努力保护我的Spring云配置服务器。作为第一步，我遵循了非常简单的教程。配置服务器未经授权即可正常工作。但当我想使用非常简单的基本身份验证时，问题就开始了。我在spring属性中定义自己的用户和密码。安全使用者名字和Spring。安全使用者密码，但该服务似乎无法使用这些密码。

当我只是离开这些属性，并使用默认的“用户”和生成的密码时，那么一切都很好。我已经坚持了一段时间，并试图解决。

下面是我的配置服务器pom的重要部分。xml文件：

<artifactId>tao-elszamolas-config</artifactId>
<packaging>jar</packaging>

<name>tao-elszamolas-config</name>
<description>Some config service</description>

<parent>
    <groupId>com.mycompany.tao</groupId>
    <artifactId>tao-elszamolas</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <relativePath>../pom.xml</relativePath> 
</parent>

<dependencies>
    <!-- Spring Cloud config server -->
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-config-server</artifactId>
    </dependency>

    <!-- Spring Cloud Eureka client -->
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-netflix-eureka-client</artifactId>
    </dependency>

    <!-- Spring Security -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
</dependencies>

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-dependencies</artifactId>
            <version>${spring-cloud.version}</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

<repositories>
    <repository>
        <id>spring-milestones</id>
        <name>Spring Milestones</name>
        <url>https://repo.spring.io/milestone</url>
        <snapshots>
            <enabled>false</enabled>
        </snapshots>
    </repository>
</repositories>

这是配置服务器应用程序。yml：

server:
  port: 9001

spring:
  application:
    name: config-server
  cloud:
    config:
      server:
        git:
          uri: file://${user.home}/application-config
          clone-on-start: true
  security:
    user:
      name: configUser
      password: configPassword

eureka:  
  client:
    serviceUrl:
      defaultZone: http://localhost:9002/eureka/

配置客户端基本上就是发现服务。（我想实现其他微服务使用的发现优先模型。）这是pom的重要部分。配置客户端服务的xml（在我的例子中是发现服务）：

<name>tao-elszamolas-discovery</name>
<description>Some service discovery</description>

<parent>
    <groupId>com.mycompany.tao</groupId>
    <artifactId>tao-elszamolas</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <relativePath>../pom.xml</relativePath> 
</parent>

<dependencies>
    <!-- Spring Cloud Netflix Eureka service registry server -->
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-netflix-eureka-server</artifactId>
    </dependency>

    <!-- Spring Cloud config client -->
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-config-client</artifactId>
    </dependency>

</dependencies>

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-dependencies</artifactId>
            <version>${spring-cloud.version}</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

<repositories>
    <repository>
        <id>spring-milestones</id>
        <name>Spring Milestones</name>
        <url>https://repo.spring.io/milestone</url>
        <snapshots>
            <enabled>false</enabled>
        </snapshots>
    </repository>
</repositories>

这是配置客户端服务的bootstrap.yml：

spring:
  application:
    name: discovery-server
  cloud:
    config:
      name: discovery-server
      uri: http://localhost:9001
      username: configUser
      password: configPassword

所以，如果我从应用程序中删除用户名和密码。配置服务器的yml和我使用默认用户作为用户名，并在引导中使用生成的密码。发现服务器的yml，然后一切正常。

有人知道为什么自定义用户名和密码不起作用吗？

任何帮助都将不胜感激。我可能犯了一个非常微不足道的错误，只是没有真正认识到它。

Answer 1

更新：

我调试了一下Spring框架。我在Spring-security-core-5.1.1的最新版本中发现了一些非常有趣的事实。更具体地说，在InMemoryUserDetailsManager类中。

在此类中创建用户时，将调用此方法：

    public void createUser(UserDetails user) {
        Assert.isTrue(!userExists(user.getUsername()), "user should not exist");

        users.put(user.getUsername().toLowerCase(), new MutableUser(user));
    }

重点应放在这一部分：

user.getUsername().toLowerCase()

因为当它尝试为用户更新密码时，它使用以下方法：

    @Override
    public UserDetails updatePassword(UserDetails user, String newPassword) {
        String username = user.getUsername();
        MutableUserDetails mutableUser = this.users.get(username);
        mutableUser.setPassword(newPassword);
        return mutableUser;
    }

是的，正如您所看到的，updatePassword方法与类的其余部分不一致，因为它不会将用户名转换为小写。因此，如果您在属性文件中定义您的用户，它将永远不会工作：配置用户。

在Github中查看Spring源代码后，我发现了这个。

结论：

问题是用户名而不是密码。如果您想完成这项工作，您可以选择以下选项：

>

如果您使用Spring Boot，请使用最新的父版本，即2.1.1。发布

如果你坚持使用spring-security-core-5.1.1。释放jar，您应该只使用小写用户名。