Spring Security——执行器endpoint的自定义身份验证提供程序和HTTP Basic

Question

我有一个正在运行的Spring Boot应用程序（Spring Boot v2.4.1），我想用Spring Boot Admin监控它。

我已经安装了服务器，可以在/actuator/endpoint不安全的情况下监视应用程序的实例。我有一张照片在上面。

现在我想保护它，但我不知道如何在不干扰我当前安全配置的情况下做到这一点。

我将Spring Security配置为匹配数据库中的用户名和密码以及CustomAuthenticationProvider。如果可能，我想添加一个具有HTTP基本身份验证的执行器endpoint。

这是我当前的安全配置：

http.
            authorizeRequests()
            .antMatchers("/admin/**").hasAuthority(AUTHORITY_ADMIN)
            .antMatchers("/user/**").hasAnyAuthority(AUTHORITY_ADMIN, AUTHORITY_USER)
            .anyRequest().authenticated()
            .and()
            .csrf().disable()
            .formLogin()
            .loginPage("/login")
            .failureUrl("/login?error=true")
            .successHandler(new CustomUrlAuthenticationSuccessHandler(translator))
            .usernameParameter("username")
            .passwordParameter("password")
            .and()
            .logout()
            .logoutUrl("/logout")
            .logoutSuccessUrl("/")
            .and()
            .exceptionHandling().accessDeniedPage("/403")
            .and()
            .headers().frameOptions().sameOrigin();

我想保留该配置，并告诉Spring，每当用户点击 /actuator/endpoint时，它将需要HTTP Basic Security凭据。

我在考虑有两个@Configuration类，扩展WebSecurityConfigrerAdapter。一个是我已经得到的，另一个用于执行器endpoint。但是我运气不好。

非常感谢。

非常感谢你

Answer 1

我就是这样解决的：我创建了一个新的@configurationon类，扩展websecurityConfigureAdapter，

我无法停止使用WebSecurityConfigureAdapter（正如@Marcus Hert da Coregio在评论中所建议的那样），因为如果我不扩展它，我就无法定义我的自定义身份验证提供程序。

这个类有@Order（1），因此它将优先于我的其他初始配置（我将其设置为@Order（2））。这就是它的内容：

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .antMatcher("/actuator/**")
                .csrf().disable()
                .authorizeRequests()
                    .anyRequest().authenticated()
                .and()
                .httpBasic()
                .and()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

然后，我的自定义AuthenticationProvider将验证访问致动器endpoint的给定凭据是否有效。

这失败的原因第一次我测试它是因为我没有设置初始

.antMatcher("/actuator/**")

通过添加它，我告诉SpringSecurity这个配置应该只应用于那些endpoint。我从这篇文章中得到了这个概念

我希望这对将来的人有所帮助

Answer 2

您可以创建两个SecurityFilterChainbean，一个用于具有更高优先级的/执行器/**endpoint，另一个用于具有较低优先级的其他endpoint，如下所示：

@Bean
@Order(1)
public SecurityFilterChain actuatorWebSecurity(HttpSecurity http) throws Exception {
    http.requestMatchers((matchers) -> matchers
        .antMatchers("/actuator/**"));
    http.authorizeRequests((authz) -> authz
        .anyRequest().authenticated());
    http.httpBasic();
    http.userDetailsService(myUserDetailsService);
    ...
    return http.build();
}

@Bean
@Order(2)
public SecurityFilterChain defaultWebSecurity(HttpSecurity http) throws Exception {
    // your current configuration
}

在这种配置中，@Order注释告诉顺序，SecurityFilterChains将根据请求进行匹配。