带有第三方会话Cookie的Spring Security自定义登录站点

Question

我正在创建一个Spring Boot网络应用程序，作为我的用户登录网站。在幕后，通过REST API，它使用OpenAM来验证凭证并创建会话令牌。我希望令牌将用于管理这个登录网站和我们为我们的用户提供的所有其他网站的会话(单点登录)。

我希望SpringBoot应用程序是无状态的。这使得部署更加容易。虽然站点应该是无状态的，但显然我们仍然在OpenAM中保持会话状态。

我正在努力解决如何配置Spring Security以允许cookie代表Spring Security识别的有效会话。当我使应用程序无状态时，它会导致CSRF保护的各种问题，因为它认为我们正在对cookie中具有OpenAM会话令牌的每个请求重新进行身份验证，并创建新的CSRF标头（以防止会话固定）。

我正在使用PreAuthenticationToken作为身份验证类型。我应该使用RemberMemberAuthenticationToken吗？是否需要引入新的SessionAuthenticationStrategy？理想情况下，只有实际的登录帖子才会让Spring Security认为创建了一个新会话。对于所有具有会话cookie的后续请求，它应该让它通过身份验证。（我将在每个请求中使用OpenAM验证令牌。）

想法？安德鲁

Answer 1

我创建了一个混合站点，它利用了ForgeRock会话令牌和默认的Spring Security HttpSession。为了提供CSRF和会话劫持保护，创建一个完全无会话的应用程序非常具有挑战性。

因此，我的应用程序利用Spring会话提供CSRF和会话劫持投影，并充当缓存。Spring会话持续30秒，在此期间，所有请求都使用了存储的主体信息，不需要查询ForgeRock来验证它。30秒后，Spring会话到期并重新验证ForgeRock会话，并从OpenAM获取更新的主体信息。

我在Spring Security应用程序中实现了一些钩子来实现这个功能。我利用了Spring Boot、Spring Security，以及将它们连接在一起的Java配置方式。

• 我用我自己的OpenAmCookieAuthentication过滤器替换了AbstractPreAuthenticatedProcessingFilter过滤器。在doFilter（）方法中，它检查HttpSession的持续时间是否存在。如果超过“x”秒，则会使会话无效。这将迫使未来的过滤器重新验证OpenAM cookie并获取OpenAM主体信息。
• 我用我自己的过滤器替换了UsernamePasswordAuthenticationFilter过滤器。要明确的是，我没有在这里实现我自己的过滤器，我只是配置了一个UsernamePasswordAuthenticationFilter实例。我设置了自己的自定义成功和失败处理程序
  • 我创建了自己的成功处理程序，它在使用OpenAM成功进行身份验证时设置OpenAM会话cookie。它扩展了SavedRequest estAware AuthenticationDecessHandler
  • 我创建了自己的失败处理程序来处理清除cookie的失败登录。它扩展了ExceptionMappingAuthenticationFailureHandler
  < li >创建实现< code > AuthenticationUserDetailsService的< code>UserDetailsService

  最后，因为我不能让应用程序完全无状态，所以我使用嵌入式Tomcat实例实现了简单的会话复制。这个实现是受这个帖子的启发:在这里输入链接描述