Spring Security 3.1.3请求查询字符串剥离

Question

我正在使用Spring Security 3.1.3保护我的应用程序，并且我要求允许用户通过第三方应用程序中的链接登录。

但是，第三方应用程序中的链接将重定向到特定资源，而不是登录页面，用户希望访问的资源将被定义为查询字符串参数。因此，例如，链接的形式为：
//server.com/app/build/panel.jsp?resourceid='blah'

当用户单击此链接时，他们应该被带到我的Spring Security配置中定义的登录页面，如果经过身份验证，则应该被重定向到包含querystring参数的原始链接。querystring参数对用户应该如何进行身份验证没有影响，它只是一个资源ID。

现在，除了querystring之外，这一切都可以正常工作，它在进入请求处理流之前被Spring Security剥离。

这显示在Spring Security的调试输出中；

org.springframework.security.web.savedrequest.添加到会话的DefaultSavedRequest[http://server.com:8080/app/build/panel.jsp]

即，查询字符串未保存，并且已删除。

注意，我目前正在使用Ant匹配。我没有必要真的与querystring比赛。

在Spring Security的早期版本中，您似乎可以通过使用BeanPostProcessor来影响这种行为，正如本文所述，Spring Security-忽略请求参数规则的Url。但是方法DefaultFilterInvocationSecurityMetadataSource。setStripQueryStringFromUrls（）已从Spring Security 3.1.3中删除。

如何配置Spring Security性，使其不从原始请求中删除querystring？这样，当用户在登录到原始URL后被重定向时，querystring参数将被保留？

非常感谢Howard

Answer 1

有关类似问题的其他信息，请参阅链接：https://docs.spring.io/spring-security/site/docs/3.1.x/reference/springsecurity-single.html

提取：当应用程序部署在没有从这些值中剥离路径参数的容器中时，攻击者可能会将它们添加到请求的URL中，以导致模式匹配意外成功或失败。

然而，这种剥离旨在牢固地保护登录的模式匹配。这并不意味着查询参数不能从HTTP请求中获得，它们应该是。

Answer 2

基本上是成功处理程序。

你可以看看这个例子：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
      .authorizeRequests()
      .antMatchers("/login*")
      .permitAll()
      .anyRequest()
      .authenticated()
      .and()
      .formLogin()
      .successHandler(new RefererAuthenticationSuccessHandler());
}

更多信息：http://www.baeldung.com/spring-security-redirect-login

Answer 3

你可以从SuccessHandler获得它

SecurityConfiguration类

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
@Autowired
SuccessHandler getSuccessHandler;

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()

    .antMatchers("/dashboard/**",               
            "/feedback/**"
            ).access("hasRole('ROLE_SYSTEM_ADMIN') or hasRole('ROLE_COMPANY_ADMIN')")

    .and().formLogin().loginPage("/login").successHandler(getSuccessHandler)
    .loginProcessingUrl("/login").usernameParameter("ssoId").passwordParameter("password")      
    .and().csrf()
    .and().exceptionHandling().accessDeniedPage("/Access_Denied")
    .and()
    .sessionManagement().invalidSessionUrl("/login").maximumSessions(1).expiredUrl("/login").and().sessionAuthenticationErrorUrl("/login").sessionFixation().migrateSession()
    .sessionCreationPolicy(SessionCreationPolicy.ALWAYS); //always, IF_REQUIRED,never ,stateless    

    http.logout()
    .logoutUrl("/logout")
    .logoutSuccessUrl("/login")
    .invalidateHttpSession(true)
    .permitAll();
}

 @Override
  public void configure(WebSecurity web) throws Exception {
    web
    .ignoring()     
    .antMatchers("/static/**")
    .antMatchers("/images/**");       
     }
}

SuccessHandler类

@Component
public class SuccessHandler implements AuthenticationSuccessHandler {


@Override
public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response,
    Authentication authentication) throws IOException, ServletException {

    HttpSession session = request.getSession();
    response.sendRedirect(request.getContextPath() + "/dashboard/index");
}
}