如何在spring security中同时实现AuthenticationEntryPoint和AuthenticationProvider

Question

嗨，Spring Security专家。

我的要求。

我有两套UI。其中一组是登录和注销，需要使用基本身份验证（使用用户名密码凭据）由spring security进行保护。我使用了HybridAuthenticationProvider实现AuthenticationProvider，并实现了它。

第二个和其余的UI需要通过在HTTP Header中传递令牌来支持。我使用CustomAuthentiationEntryPoint实现AuthenticationEntryPointGenericFilterBean并且可以实现它。

现在我想做单Spring安全。xml实现上述两种功能。最终，我将一组UI页面组合在一起，在这些页面中，我希望通过凭证（AuthenticationProvider）保护登录/注销页面，而我希望通过令牌（AuthenticationEntryPoint）保护其余UI。

当我把所有的一切都放在Spring的安全。xml（如下所述），我得到以下异常。

例外情况：

异常是org.springframework.beans.factory.BeanCreationException：创建名为'org.springframework.security.web.authentication.UsernamePasswordAuthentiationFilter#0'的bean时出错：无法解析对bean'org.springframework.security.authentication.ProviderManager#0'的引用，同时设置bean属性'身份验证管理器'；嵌套异常是org.springframework.beans.factory.BeanCreationException：创建名为'org.springframework.security.authentication.ProviderManager#0'的bean时出错：无法解析org.springframework.beans.factory.support.的匹配构造函数（提示：为简单参数指定index/type/name参数以避免类型歧义）BeanDecitionValueResolver.resolve参考（BeanDecitionValueResolver.java:328）

样品Spring-security.xml

<security:http auto-config="true" authentication-manager-ref="hybridAuthenticationProvider">
    <security:intercept-url pattern="/auth/login" access="ROLE_USER" />
</security:http>

<security:http realm="Protected API" use-expressions="true"
    auto-config="false" create-session="stateless" entry-point-ref="CustomAuthenticationEntryPoint">
    <security:custom-filter ref="authenticationTokenProcessingFilter"
        position="FORM_LOGIN_FILTER" />
    <security:intercept-url pattern="/welcome"
        access="isAuthenticated()" />
</security:http>


<bean id="CustomAuthenticationEntryPoint"
    class="com.ckatudia.tutorial.authentrypoint.CustomAuthenticationEntryPoint" />

<bean id="authenticationTokenProcessingFilter"
   class="com.ckatudia.tutorial.authentrypoint.AuthenticationTokenProcessingFilter" />

<bean id="TokenUtils"
    class="com.ckatudia.tutorial.authentrypoint.TokenUtils" />

<bean id="authenticationManager"
    class="com.ckatudia.tutorial.auth.TokenAuthenticationProvider" />

<bean id="hybridAuthenticationProvider"
      class="com.ckatudia.tutorial.auth.HybridAuthenticationProvider">
</bean>  
    
<security:authentication-manager>
    <security:authentication-provider ref="hybridAuthenticationProvider"/>
</security:authentication-manager>

我删除了authentication manager ref=“hybridAuthenticationProvider”，然后在部署时出现以下异常。

例外情况：

org.springframework.beans.factory.BeanCreationException：创建名为“org.springframework.security.filterChainProxy”的bean时出错：初始化方法调用失败；嵌套异常java.lang.IllegalArgumentException：在过滤器链中的其他模式之前定义了通用匹配模式 ('/**') ，导致它们被忽略。请检查安全性中的顺序：http命名空间或FilterChainProxy bean配置

Answer 1

您有此异常，因为超文本传输协议元素的de"模式"属性默认为 "/**". 由于您有两个没有特定模式的"超文本传输协议"元素，因此采用默认值，并且它们各自涵盖相同的uis集。

尝试在两者上添加不同的图案：

<http pattern="/foo/**" ... >
  ...
</http>

<http pattern="/bar/**" ... >
  ...
</http>