在Spring中区分没有身份验证的用户

Question

我目前正在为Spring Boot网站编写一个评论系统，它将基于一个简单的REST API。

为了让人们删除或更新他们之前发布的评论，我想在Cookie中存储一个唯一的令牌来记住/识别他们。用户不需要注册以便发表评论。当用户删除cookie或cookie过期时，将无法取回删除/修改注释的权限。

当然，我自己使用过滤器来实现这样的功能是可能的，但是我想知道在Spring中是否有一种标准的方法（可能是使用Spring Security）来实现这样的功能？我原以为这会是一个常见的场景，但我能找到的所有示例都包括用户名/密码之类的身份验证信息。

Answer 1

这可以通过创建securitycontextrepository的自定义实现来实现。

1. 创建从Cookie加载身份验证信息的SecurityContextrepository的实现。
2. 创建authenticationprovider的实现，以检查cookie是否包含有效值。可以将前缀和/或后缀添加到cookie值中，并且可以对该值进行加密，以确保真实性并防止冒充。

我有一个示例应用程序演示了要实现的组件。示例将身份验证信息存储在内存缓存中，但可以根据需要将其存储在HttpSession或任何其他数据存储中。代码是Scala的，但对于Java程序员来说应该是可读的。