如何在Spring中为非安全endpoint传递Authorizatoin标头

Question

我正在使用spring webflux和Security。我有3个服务A、B、C和服务C中的两个endpoint，如下所示

1. 健康安全
2. 状态-不应保护

@Configuration
@EnableWebFluxSecurity
public class SecureConfiguration {
  @Bean
  public MapReactiveUserDetailsService userDetailsService() {
    UserDetails user = User.builder()
            .username("john")
            .password("{noop}" + "password")
            .roles("")
            .build();
    return new MapReactiveUserDetailsService(user);
  }

  @Bean
  public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http.csrf().disable()
            .authorizeExchange()
            .pathMatchers("/test/health")
            .authenticated()
            .pathMatchers("/**").permitAll()
            .and().httpBasic();
    return http.build();
  }
}

null

如何避免这一点？因为status调用将来自服务A，所以服务A到服务B需要不同的auth，服务B被传递到服务C，因为它失败了，但是对于服务B到服务C，statusendpoint不需要任何auth。

我知道我们可以创建一个没有auth头的新请求，但我想知道为什么spring security没有忽略非安全endpoint的Authorization头。

Answer 1

当您使用httpbasic()方法时，Spring Security用默认的anyExchange匹配器配置AuthenticationWebFilter，这意味着每个到达Spring应用程序的请求都将通过这个过滤器。此外，AuthenticationWebFilter优先于AuthorizationWebFilter（请参阅Spring Security源代码了解顺序）。

在某个时候，请求会到达这个方法（请参见Spring Security源代码）：

@Override
@Deprecated
public Mono<Authentication> apply(ServerWebExchange exchange) {
    ServerHttpRequest request = exchange.getRequest();

    String authorization = request.getHeaders().getFirst(HttpHeaders.AUTHORIZATION);
    if (!StringUtils.startsWithIgnoreCase(authorization, "basic ")) {
        return Mono.empty();
    }

    String credentials = authorization.length() <= BASIC.length() ?
            "" : authorization.substring(BASIC.length(), authorization.length());
    byte[] decodedCredentials = base64Decode(credentials);
    String decodedAuthz = new String(decodedCredentials);
    String[] userParts = decodedAuthz.split(":", 2);

    if (userParts.length != 2) {
        return Mono.empty();
    }

    String username = userParts[0];
    String password = userParts[1];

    return Mono.just(new UsernamePasswordAuthenticationToken(username, password));
}

根据发送的无效标头，此方法的结果可能是：

@Override
public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
return this.requiresAuthenticationMatcher.matches(exchange)
    .filter( matchResult -> matchResult.isMatch())
    .flatMap( matchResult -> this.authenticationConverter.convert(exchange))
    .switchIfEmpty(chain.filter(exchange).then(Mono.empty()))
    .flatMap( token -> authenticate(exchange, chain, token))
    .onErrorResume(AuthenticationException.class, e -> this.authenticationFailureHandler
        .onAuthenticationFailure(new WebFilterExchange(exchange, chain), e));
}

绕过这一点的最简单方法是实现您自己的AuthenticationWebFilter，这将允许您更改行为。