Spring Security将容器安全性和JWT令牌结合起来

Question

是否可以有一个登录rest服务，该服务使用Spring Security验证容器安全性，如果成功，则返回JWT令牌。然后调用其他服务将使用JWT过滤器。

基本思想是这样的。

1. 我有一个React应用程序，它有一个登录页面。它发送一个带有用户名和密码的登录请求（通过rest服务）。安全性是基于容器的（例如Tomcat用户）。Spring security应该通过容器进行身份验证，如果用户名和密码正确，则登录服务返回JWT令牌

我在谷歌上找不到这种情况的例子。

Answer 1

您试图找到的是Spring Security所称的预身份验证。

您可以为不同的场景启用它，我将展示一个Java EE容器示例。

@Bean
SecurityFilterChain appSecurity(HttpSecurity http) throws Exception {
    http
        ...
        .jee(Customizer.withDefaults())
        ...

    return http.build();
}

jee（）要做的是在您的安全过滤器链中注册一个J2eePreAuthenticatedProcessingFilter，过滤器本身将从HttpServletRequest中提取主体，并调用预身份验证提供者对其进行身份验证。

然后，在控制器中，可以注入主体，并使用主体的细节构建JWT。