Spring Security通过post对用户进行身份验证

Question

我有一个react应用程序在一个单独的端口（localhost:3000）上运行，我想用它来验证用户，目前我的Spring后端（localhost:8080）有一个代理设置。

我能以某种方式手动验证而不是http.httpBasic（）通过发送一个POST请求到我的后端，并获得一个会话cookie，然后在每个请求中包含cookie吗？这也将简化iOS方面的验证过程（使用此过程，我只能将会话cookie值存储在keychain中，并在每次向我的api发出请求时传递它）

如何对非浏览器请求禁用csrf？

有更好的方法吗？浏览器和移动认证的不同路径？

 {
   "username": "user",
   "password": "12345678"
 }

处理Spring控制器中的请求

@PostMapping(path = "/web")
public String authenticateUser() {
    //Receive the auth data here... and perform auth
    //Send back session cookie
    return "Success?";
}

我的网络安全配置dapter.java

@Configuration
@EnableWebSecurity
public class WebsecurityConfig extends WebSecurityConfigurerAdapter {
    private final DetailService detailService;

    public WebsecurityConfig(DetailService detailService) {
        this.detailService = detailService;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(detailService).passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .httpBasic().disable()
                .authorizeRequests()
                .antMatchers(HttpMethod.POST,"/api/v1/authenticate/new").permitAll()
                .antMatchers(HttpMethod.POST,"/api/v1/authenticate/web").permitAll()
                .anyRequest().authenticated();

    }

    @Bean
    public WebMvcConfigurer corsConfigurer() {
        return new WebMvcConfigurer() {
            @Override
            public void addCorsMappings(CorsRegistry registry) {
                registry.addMapping("/**").allowedMethods("GET", "POST").allowedOrigins("http://localhost:8080");
            }
        };
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder(14);
    }
} 

Answer 1

您可以创建一个终结点，在请求正文中获取用户的凭据，执行身份验证，然后在HttpOnly cookie中设置令牌和其他所需参数。

设置cookie后，后续请求可以从cookie中读取访问/刷新令牌并将其添加到请求中，然后您可以使用自定义的CheckTokenEndpoint来验证令牌。

在下面的示例中，TokenParametersTo是一个POJO，它具有用户名和密码属性。

要发布令牌（通过验证凭据），您可以将调用委托给令牌endpoint#postAccessToken（..）或者将它的逻辑用于你自己的方法。

@PostMapping(path = "/oauth/http/token", consumes = MediaType.APPLICATION_JSON_VALUE, produces = MediaType.APPLICATION_JSON_VALUE)
public ResponseEntity<Void> issueToken(@RequestBody final @Valid @NotNull TokenParametersDto tokenParametersDto,
                                       final HttpServletResponse response) {

    final OAuth2AccessToken token = tokenService.issueToken(tokenParametersDto);

    storeTokenInCookie(token, response);

    return new ResponseEntity<>(HttpStatus.OK);
}

private void storeTokenInCookie(final OAuth2AccessToken token, final HttpServletResponse response) {
    final Cookie accessToken = new Cookie("access_token", token.getValue());
    accessToken.setHttpOnly(true);
    accessToken.setSecure(sslEnabled);
    accessToken.setPath("/");
    accessToken.setMaxAge(cookieExpiration);

    final Cookie tokenType = new Cookie("token_type", token.getTokenType());
    tokenType.setHttpOnly(true);
    tokenType.setSecure(sslEnabled);
    tokenType.setPath("/");
    tokenType.setMaxAge(cookieExpiration);

    // Set Refresh Token and other required cookies.

    response.addCookie(accessToken);
    response.addCookie(tokenType);
}

检查此答案以禁用特定URL部分的CSRF。