未经身份验证的Spring Security授权

Question

我有一个JavaJSF 2，Spring 3，HiberNate 4JavaEE应用程序，它使用第三方库来验证用户。我将所需的CA证书导入到我的JVM中，将第三个库添加到项目中，并在web.xml.中配置该库从智能卡读取用户详细信息。整个设置正在工作，第三方库将用户带到主页。

以下是我的要求，以确保应用程序。

• 再次检查该用户是否存在于特定于应用程序的数据库中

我看了这个链接，似乎“身份验证处理过滤器”不建议使用，不适用于Spring3！

http://codersatwork.wordpress.com/2010/02/13/use-spring-security-for-authorization-only-not-for-authentication/

我也看了这个，但我不明白还需要什么其他步骤/配置。

Spring Security：无需身份验证的授权

如果有人能概述仅使用授权实现Spring Security所需的所有项目，我将非常感激。这就是我想出的。

1）使用Spring 3安全更新pom，添加过滤器（我应该选择哪个过滤器）

2）自定义用户详细信息

3） 自定义身份验证提供程序

4）在application-context.xml注册此自定义身份验证提供程序

5）注册访问决策管理器进行授权

Answer 1

适合这个用例的基本Spring Security类是org。springframework。安全网状物认证。预授权。AbstractPreAuthenticatedProcessingFilter和org。springframework。安全网状物认证。预授权。预验证身份验证提供程序。

如果您当前的身份验证库导致用户以标准Java EE方式进行身份验证（即在HttpServletRequest实例上调用getUserPrincipal（）返回经过身份验证的用户的主体），那么您需要做的事情应该类似于：

>

<!-- Declare the user details for database check -->
<bean id="userDetails" class="com.yourpackage.DatabaseUserDetails"/>

<!-- Default empty auth manager -->
<security:authentication-manager alias="authenticationManager"/>

<!-- Use default settings from the jee namespace -->
<security:http>
    <security:jee mappable-roles="IS_AUTHENTICATED_FULLY" user-service-ref="userDetails"/>
</security:http>

配置Spring Security以根据您的需求执行授权

安全： jee初始化过滤器和身份验证提供程序，并将您的用户服务插入到提供程序。

如果您当前的身份验证库不使用JavaEE机制，您将需要实现自己的AbstractPreAuthiliatedProcessingFilter子类，该子类知道如何识别用户已进行身份验证。

然后，您将用自己的预验证过滤器替换默认的预验证过滤器，因此配置如下所示：

<!-- Declare the user details for database check -->
<bean id="userDetails" class="com.yourpackage.DatabaseUserDetails"/>

<!-- Define provider -->
<bean id="preauthAuthProvider" class="org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationProvider">
<property name="preAuthenticatedUserDetailsService">
  <bean id="userDetailsServiceWrapper"
      class="org.springframework.security.core.userdetails.UserDetailsByNameServiceWrapper">
    <property name="userDetailsService" ref="userDetails"/>
  </bean>
</property>
</bean>

<!-- Define alias for the authentication manager -->
<authentication-manager alias="authenticationManager">
   <security:authentication-provider ref="preauthAuthProvider" />
</authentication-manager>

<!-- Declare the custom filter -->
<bean id="authenticationFilter" class="com.yourpackage.AuthenticationFilter">
    <property name="authenticationManager" ref="authenticationManager"/>
</bean>

<security:http>
    <security:custom-filter ref="authenticationFilter" position="PRE_AUTH_FILTER"/>
</security:http>

您可以在Spring Security文档中找到更多详细信息。