Spring Oauth2 - 重新加载主体

Question

我已经用Spring Security模块实现了OAuth2密码授权。我添加了自己的UserDetails和UserDetailsService (jdbc)实现。我将用户注入到我控制器中:

@AuthenticationPrincipal User user

其中User是我的UserDetails实现。现在我想添加在不刷新令牌的情况下更改用户数据的可能性。

我尝试更新校长：

User updatedUser = ...
Authentication newAuth = new UsernamePasswordAuthenticationToken(updatedUser, updatedUser.getPassword(), updatedUser.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(newAuth);

但它不起作用，当我调用另一个控制器方法时，它会返回旧的User对象。

有没有办法在不刷新令牌的情况下更改用户数据？是否有任何解决方案可以使Spring Security性始终从数据库（而不是从缓存）加载用户数据？

Answer 1

我不确定，但这只是一个猜测，我想你也需要清除SecurityContext。

首先，使用＜code＞SecurityContextHolder清除安全上下文。clearContext（） 然后您的代码设置身份验证

Authentication newAuth = new UsernamePasswordAuthenticationToken(updatedUser, updatedUser.getPassword(), updatedUser.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(newAuth);

Answer 2

我从这个答案中找到了一种方法来实现这一点。我创建了HttpSessionSecurityContextRepository

@Bean
public ReloadUserPerRequestHttpSessionSecurityContextRepository userDetailContextRepository() {
    return new ReloadUserPerRequestHttpSessionSecurityContextRepository();
}

并将其添加到我的HttpSecurity，从WebSecurityConfigurerAdapter类中，如下所示：

    .and()
        .csrf()
            .csrfTokenRepository(csrfTokenRepository())
    .and()
        .securityContext()
            .securityContextRepository(userDetailContextRepository())

下面是在每次请求时获取更新用户信息的示例代码。您可以从API服务器或oauth2配置的用户信息url获取。

public class ReloadUserPerRequestHttpSessionSecurityContextRepository extends HttpSessionSecurityContextRepository {

    @Override
    public SecurityContext loadContext(HttpRequestResponseHolder requestResponseHolder) {
        SecurityContext context = super.loadContext(requestResponseHolder);

        Authentication auth = context.getAuthentication();
        if (auth != null && auth instanceof OAuth2Authentication) {
            OAuth2Authentication oldAuth = (OAuth2Authentication) auth;
            if (oldAuth.getPrincipal() instanceof LinkedHashMap) {
                createNewUserDetailsFromPrincipal(oldAuth.getPrincipal());
            }
            context.setAuthentication(oldAuth);
        }
        return context;
    }

    @SuppressWarnings("unchecked")
    private void createNewUserDetailsFromPrincipal(Object principal) {
        LinkedHashMap<String, Object> userDetailInfo = (LinkedHashMap<String, Object>) principal;
        // fetch User informations from your API server or your database or
        // 'user-info-url' of oauth2 endpoint
        userDetailInfo.put("name", "EDITED_USER_NAME");
    }

}