Spring Security SAML扩展和@PreAuthorize

Question

我的要求是使用基于SAML的SSO。从SAML断言中检索用户组并保护其余apiendpoint。我正在使用Spring SecuritySAML扩展和Spring MVC。我采取的步骤是。

< li >使用Spring SAML扩展为SP配置应用程序。[完成] < li >检索断言并分配角色[完成] < li >创建restendpoint。[完成] < li >基于角色保护restendpoint和服务。[不工作]

我已经实现了 SAMLUserDetailsService，它返回一个带有权限的 UserDetails 对象。下面的“loadUserBySAML”。

@Override
public Object loadUserBySAML(SAMLCredential credential) throws UsernameNotFoundException {

    final String userId = credential.getNameID().getValue();

    final String emailAddress = credential.getAttributeAsString("EmailAddress");
    final String firstName = credential.getAttributeAsString("FirstName");
    final String lastName = credential.getAttributeAsString("LastName");

    List<GrantedAuthority> authorities = new ArrayList<>();
    authorities.add(new SimpleGrantedAuthority("ROLE_STUDENT"));

    return new User(userId, emailAddress, firstName, lastName, authorities);
}

我已经添加了

在RestController和我使用@PreAuthorize的服务上，但此注释似乎根本没有效果。

@PreAuthorize("hasRole('ROLE_PROGRAMLEAD')")
@RequestMapping(method = RequestMethod.GET)
public String hello() {
    return "Hello.";}

有人能帮我理解一下为什么预授权没有启动吗？我遗漏了一些配置吗？




Answer 1

<代码>

参考:http://docs . spring . io/spring-security/site/FAQ/FAQ . html # FAQ-method-security-in-we B- context

Answer 2

我面临着同样的问题。我想通过SAML身份验证执行API授权。要使其工作，您需要使用带有注释的hasAuthory参数而不是hasRole参数。以下对我有用：

@PreAuthorize(value="hasAuthority('Admin')")