Spring security阻止从后台线程导航到另一个视图

Question

我在从Vaadin 14迁移到Vaadin 23时遇到麻烦。我有一个带有进度对话框的长时间运行的后台任务。完成任务后使用Vaadin 14，我可以使用以下代码导航到结果视图：

UI ui = UI.getCurrent();
final SecurityContext context = SecurityContextHolder.getContext();

ui.access(() -> {
  SecurityContextHolder.setContext(context);
  UI.navigate("work-finished-view");
});

Vaadin 23我收到警告

(ViewAccessChecker.java:147) Preventing navigation to com.vaadin.flow.router.RouteNotFoundError because no HTTP request is available for checking access.

这是com中的代码。瓦丁。流服务器啊。ViewAccessChecker

VaadinServletRequest vaadinServletRequest = VaadinServletRequest.getCurrent();
if (vaadinServletRequest == null) {
  // This is in a background thread and we cannot access the request
  // to check access
  getLogger().warn("Preventing navigation to " + targetView.getName()
                  + " because no HTTP request is available for checking access.");
  beforeEnterEvent.rerouteToError(NotFoundException.class);
  return;
}

从后台线程导航到另一个视图的正确方法是什么？

Answer 1

如果您使用的是VaadinWebSecurityConfigrerAdapter，SecurityContext应该会自动在UI线程中可用。不幸的是，ViewAccessChecker不会以任何一种方式利用它。它的实现方式（即以Spring独立的方式）它只需要一个HttpServletRequest。所以我目前没有看到正确的方法来做到这一点（无论如何，使用vanilla Vaadin）。您可能应该在Github上创建一个票证，因为这似乎是一个相当重要的用例。

也许你可以重定向到一个不受保护的视图，需要用户点击一个按钮导航到受保护的视图。页面#setLocation（...）也会为安全检查创建一个新的请求，但这不会在Vaadin内导航，基本上重新创建你的UI。但老实说，这两个选项在可接受的变通方法列表中都很靠后。

如果没有其他人可以提供真正合理的解决方法，您可以查看我的插件：Vaadin的Spring Boot Security。它确实使用Spring的SecurityContext，因此它可以在您的情况下工作。