在引导Spring安全过滤器链之前调用过滤器

Question

我已将过滤器配置如下，但在Spring Security Filter链之前不会调用它。我已将顺序设置为零

我使用的是Spring Boot 1.3，它支持在过滤器上设置顺序

@Bean
public FilterRegistrationBean filterRegistrationBean() {

  FilterRegistrationBean registrationBean = new FilterRegistrationBean();

  registrationBean.setFilter(new UrlRewriteFilter());
  registrationBean.addUrlPatterns("*");
  registrationBean.addInitParameter("confReloadCheckInterval", "5");
  registrationBean.addInitParameter("logLevel", "DEBUG");
  registrationBean.addInitParameter("confPath", "urlrewrite.xml");
  registrationBean.setOrder(0);

  return registrationBean;
}

Answer 1

如果您不想为应用程序中的安全过滤器链选择任意顺序。属性文件中，可以使用SecurityProperty设置顺序。默认的FILTER\u顺序值。这是安全过滤器链使用的值，因为它没有显式设置顺序值。

@Bean
public FilterRegistrationBean<MyFilter> myFilterRegistration() {
    FilterRegistrationBean<MyFilter> regBean= new FilterRegistrationBean<>();
    regBean.setFilter(new MyFilter());
    regBean.addUrlPatterns("/*");
    // Invoke MyFilter before the security filter chain
    regBean.setOrder(SecurityProperties.DEFAULT_FILTER_ORDER - 1);

    return regBean;
}

Answer 2

我发现在SpringBoot 2.0中实现这一点的最好方法是在Spring Security配置中使用addFilterBefore。我选择在用户名密码过滤器之前执行此操作，因为我的过滤器是另一个登录过滤器

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.addFilterBefore(new UrlRewriteFilter(), UsernamePasswordAuthenticationFilter.class)
            .authorizeRequests()
            .antMatchers(HttpMethod.OPTIONS, "/*/**").permitAll()
            .antMatchers("/api/login").permitAll()
            .antMatchers("/api/**").access("hasRole('ROLE_ADMIN')");
    }
}

Answer 3

应用程序.属性

security.filter-order=5
//>spring 2.1.3
spring.security.filter-order=5

这些属性不时变化，可以在这里找到

https://docs.spring.io/spring-boot/docs/current/reference/html/appendix-application-properties.html#actuator-属性

我自己还没有这样做，但是看一下代码，您似乎只需要按照安全过滤器的顺序设置一个属性。例如在application.properties

这应该在安全过滤器之前排序过滤器。我不知道更改这个顺序会带来什么影响，就安全性而言，这对我来说有点风险。Spring开发人员对此进行了讨论。最终他们实现了我上面的答案。

讨论

https://github.com/spring-projects/spring-boot/issues/1640

测试显示此属性的作用。（搜索testCustomFilterorder（））

https://github.com/spring-projects/spring-boot/blob/1.2.x/spring-boot-autoconfigure/src/test/java/org/springframework/boot/autoconfigure/security/SecurityAutoConfigurationTests.java