没有表单登录的Spring security

Question

我已经在我的应用程序Spring控制器中实现了Spring Security表达式：

@Controller
@RequestMapping("init")
public class InitController {
    @PreAuthorize("hasRole('ROLE_ADMIN')")
    @RequestMapping(value = "/", method = RequestMethod.GET)
    public @ResponseBody String home(){
        return "This is the init page";
    }
}

使用此安全配置：

<http auto-config="true" create-session="stateless" use-expressions="true">
    <intercept-url pattern="/_ah*" access="permitAll" />
    <intercept-url pattern="/init/*" access="hasRole('ROLE_ADMIN')"/>
    <intercept-url pattern="/init*" access="hasRole('ROLE_ADMIN')"/>
</http>

当访问此资源时，将显示默认的Spring登录表单（http://localhost:8888/spring_security_login）但是，我不希望发生这种情况，我只希望在请求头中插入凭据，如“x-authorization-key”或任何适合该场景的内容。

有什么可能的解决办法？

• 只在请求中使用x-授权密钥好吗
• 如果是这样，它如何适应Spring Security机制，即它如何适应“hasRole”表达式
• 重要的是my Web服务是无状态的，并且每个请求都经过身份验证
• 最后，如何在不处理Spring登录表单的情况下处理Spring Security

标头

Answer 1

您可能应该阅读有关自动配置功能的说明，然后将其删除以禁用表单登录。如果你特别配置了你想要使用的东西，你的配置会更清晰。

您的问题不清楚您希望在x-authorization-key标题中包含什么内容。如果您只是使用客户机Id和共享密钥进行身份验证，那么您也可以使用基本身份验证，因为它已经得到了现成的支持，您只需添加

身份验证机制的适用性也取决于它实际上由什么组成。通常情况下，用户将拥有分配的角色，这些角色在进行身份验证时加载，通常来自某种数据库。hasRole表达式只检查当前用户是否具有指定的角色。通常，您只需要创建一个userdetails服务，它以标准格式加载您的用户信息，该格式很容易插入到框架中。其他地方详细介绍了这一点。如果你真的需要更个性化的东西，这篇关于GAE集成的博客文章将详细介绍如何与更复杂的系统集成。

如果使用create session='stateless'，Spring Security将不会创建或使用会话。

另外，你不需要在URL级别和处理相同URL的控制器上都包含相同的安全属性。