spring boot中使用自定义令牌进行身份验证

Question

我需要保护我的spring boot应用程序，这是我所拥有的：

null

我知道spring boot的web安全特性，但是没有足够的信息来说明如何与自定义令牌一起使用这些特性。

Answer 1

spring-security无疑是一条必经之路。对于Spring引导，使用以下起动器：

  <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
   </dependency>

则必须在某个配置类中定义安全配置,例如：

@EnableWebSecurity
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

   private final BaseTokenService tokenService;

    @Bean
    public TokenAuthenticationService tokenAuthenticationService() {
        return new TokenAuthenticationServiceImpl(tokenService);
    }

    @Bean
    public TokenAuthenticationProvider tokenAuthenticationProvider() {
        return new TokenAuthenticationProvider(tokenAuthenticationService());
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(tokenAuthenticationProvider());
    }


    @Override
    protected void configure(HttpSecurity http) throws Exception {

        TokenAuthenticationFilter tokenAuthenticationFilter = new TokenAuthenticationFilter(super.authenticationManager(), false);

        //session management
        http
                .anonymous().disable()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .csrf().disable();

        //filter
        http
                .antMatcher("/api/secured/**")
                .addFilterBefore(tokenAuthenticationFilter, UsernamePasswordAuthenticationFilter.class)
                .authorizeRequests()
                .anyRequest()
                .authenticated();
    }

}

正如您在上面的配置中看到的，我使用了一个自定义身份验证过滤器（tokenAuthenticationFilter）。它可能是一种安全过滤器，您可以用来处理您的第三条语句：一个自定义的身份验证令牌，前端发送该令牌进行身份验证。它附带了一个AuthenticationProvider，这是一个Spring Security组件，它根据安全过滤器提取的令牌来验证用户身份验证。您必须根据需要提供所有token*类的正确实现。

如果您想要示例教程：

https://www.sylvainlemoine.com/2016/06/06/spring-saml2.0-websso-and-jwt-for-mobile-api/

跳过saml部分，它在这里无关，但看看JWT（Json Web令牌）部分，它应该符合您的用例。