无状态应用程序Spring Security

Question

我正在用Spring Web、Spring Security和Spring social创建一个Spring启动应用程序。该应用程序包含利用基本身份验证实现安全的rest服务。我试图将Spring配置为使应用程序无状态，但是当我使用浏览器向web服务发出请求时，浏览器会提示输入用户凭据，但由于会话创建，所有之前的请求都使用相同的用户凭据。我已将应用程序配置为阻止这种情况发生，但仍然存在问题\

public class SecurityConfig extends WebSecurityConfigurerAdapter{
    @override
    protected void configure(HttpSecurity http) throws Exception{
        http.sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .csrf().disable()
            .authorizeRequests()
            .antMatchers("/api/**")
            .hasRole("USER")
            .andBasic();
    }

    @override
    protected void configure(AuthenticatioinManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("[e-mail]")
            .password("12345")
            .role("USER");
    }
}

我应该更改或添加什么以获得此功能。

Answer 1

看看这个：

    http
  .sessionManagement()
  .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
  .and()
  .csrf().disable()
  .authorizeRequests()
  .antMatchers(HttpMethod.OPTIONS, "/**").permitAll() //allow CORS option calls
  .antMatchers("/resources/**").permitAll()
  .anyRequest().authenticated()
  .and()
  .httpBasic();

Answer 2

Spring security基于一种叫做SecurityContext的东西。这是一个ThreadLocal，例如一次只在一个线程上存在。每个请求都将位于其自己的线程上，并且将无法访问任何受保护的资源，除非SecurityContext设置为包含适当的角色。因此，即使您刚刚登录，在幕后将角色插入SecurityContext，安全上下文也会消失，就像它是另一个用户一样。代币是你处理这个问题的方式。或者base64将你的用户名和密码编码到每一个请求中，无论你的船在哪里。