Spring Boot身份验证

Question

我几乎没有Spring boot控制器类来公开rest web服务。每当有用户试图访问这些服务时，我需要调用一个web服务来检查用户（用户id将作为RequestHeader传递）是否被授权。如果未经授权，需要向用户显示错误页面（freemarker模板）。

我不想编写一个方法来调用身份验证Web服务，并从每个控制器方法调用它，抛出一个异常，并使用@ControllerAdvice将用户重定向到拒绝访问错误页面，因为这里我必须从所有控制器方法调用该方法。

我不确定是否可以使用WebSecurityConfigureAdapter/AuthenticationManagerBuilder调用Web服务并进行验证。

我正在寻找一种解决方案，我将编写一个拦截器，spring boot将在调用控制器类之前调用webservice，并且如果验证失败，将能够重定向到错误页面。

Answer 1

作为建议，花几分钟时间阅读有关Spring Security的内容(https://projects.spring.io/spring-security/)，您必须对其进行html" target="_blank">配置，并且可能会花费比预期更多的时间，无论如何，您的利润比我们自己的安全性高出很多。

好处是：

@PreAuthorize("hasRole('ROLE_USER')")

在每个地方，你都可以让用户通过SecurityContext登录，比如：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
String currentPrincipalName = authentication.getName();

SpringSecurity使用JWT（JsonWebToken）对用户进行身份验证的方式这是一种非常好的方式，因为您可以传递和检索所有需要的信息：

public class CustomTokenEnhancer implements TokenEnhancer {

@Override
public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
    User user = (User) authentication.getPrincipal();
    final Map<String, Object> additionalInfo = new HashMap<>();

    additionalInfo.put("customInfo", "some_stuff_here");
    additionalInfo.put("authorities", user.getAuthorities());

    ((DefaultOAuth2AccessToken) accessToken).setAdditionalInformation(additionalInfo);

    return accessToken;
}

}

你可以忘记所有可能的问题（错误的身份验证，网络钓鱼，xss或csrf...），因为它与公钥/私钥和秘密一起工作，所以任何人都可以创建令牌。