Spring Security过滤器链不适用于转发的请求

Question

我的应用程序只需要支持一个URL。喜欢http://.../service/api.要执行的操作取决于“操作”请求参数

为了处理这个问题，我创建了以下控制器

@RestController
public class Controller {

@PostMapping(path = "/api", params = "ACTION=INIT")
 public String init() {
   return "Inside Initialize";
 }

 @PostMapping(path = "/api", params = "ACTION=FETCH")
 public String fetch() {
   return "Inside Fetch";
 }
 
 @PostMapping(path="/view", param = "!ACTION")
 public String view() {
   return "Inside View";
 }

缺少ACTION参数时将调用 /view。对于前两个请求，我配置了OAuth身份验证，后者即 /view将使用formlogin。

我已经创建了一个过滤器，在那里我检查ACTION参数，如果丢失，我将请求转发到 /view处理程序。

@Component
public class RouteFilter extends OncePerRequestFilter {

  @Override
  protected void doFilterInternal(HttpServletRequest httpServletRequest,
      HttpServletResponse httpServletResponse, FilterChain filterChain)
      throws ServletException, IOException {
    if(!StringUtils.hasText(httpServletRequest.getParameter("ACTION"))){
      httpServletRequest.getRequestDispatcher("/view").forward(httpServletRequest,httpServletResponse);
    }else {
      filterChain.doFilter(httpServletRequest,httpServletResponse);
    }
  }

下面是过滤器注册。我已确保在FilterChainProxy之前调用了我的筛选器

@Autowired
private RouteFilter routeFilter;

@Bean
public FilterRegistrationBean<RouteFilter> filter() {
  FilterRegistrationBean<RouteFilter> bean = new FilterRegistrationBean<>();
  bean.setFilter(routeFilter);
  bean.addUrlPatterns("/api");
  bean.setOrder(-100);
  return bean;
}

以下是安全配置

@Configuration
@Order(1)
public class Config extends WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/api")
        .hasAuthority("SCOPE_API")
        .anyRequest()
        .authenticated()
        .and()
        .oauth2ResourceServer()
        .opaqueToken();
  }
}

@Configuration
@Order(2)
public class Config2 extends WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/view")
        .permitAll()
        .and()
        .formLogin();
  }
}

当我调用/服务/api时，RouteFilter将请求转发给/视图处理程序，但与/视图相关的Spring Security性没有得到尊重。Spring Security过滤器链是否不适用于转发的请求，或者我在这里遗漏了什么。我使用的是spring boot 2.4.0版本

Answer 1

如这里所述，我们需要将DispatcherType. FORWARD添加到springFilterChain以拦截转发的请求。上面链接中描述的步骤不起作用，因为springFilterChain是由SecurityAutoConfiguration创建的。要在此添加转发调度程序，我们需要将属性设置为application.yml

security:
    filter:
      dispatcher-types:
        - request
        - async
        - error
        - forward 

设置此属性后，安全过滤器链会拦截请求。