在Tomcat上使用Spring Boot进行身份验证

Question

我正在尝试使spring-boot-starter-security与spring-boot-starter-web和spring-boot-starter-tomcat一起工作。我试着按照spring-boot-sample-secure和spring-boot-sample-web-secure中的指南去做，但是我没有让它起作用。

我正在尝试构建一个没有任何ui交互的REST应用程序。因此，我发现这两个样品都不完全适合我的目的。目前我的解决方案是使用AOP。

@Before("execution(* my.zin.rashidi.openshift.tomcat.controller.*.*(..)) && args(authorization, ..)")
public void authenticate(String authorization) {

    if (!isEmpty(authorization)) {
        SecurityContextHolder.getContext().setAuthentication(
                new UsernamePasswordAuthenticationToken("user", "N/A",
                        AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_USER"))
        );
    }
}

@RequestMapping(method = GET)
public ResponseEntity<User> get(@RequestHeader String authorization, @RequestBody User user) {
    HttpStatus status = OK;
    User returnObject = null;

    try {
        returnObject = service.get(user);
    } catch (AuthenticationCredentialsNotFoundException e) {
        status = UNAUTHORIZED;
    }

    return new ResponseEntity<User>(returnObject, status);
}

解决方案对我有效。然而，我想知道这是否是一个好的解决方案。我很好奇是否有更好的解决办法。

感谢您的帮助！

Answer 1

我不想给每个controller方法添加一个可选参数，因为它是可选的，所以遗忘的风险很高。您询问了一个意见，我认为更好的解决方案是使用一种更普通的Spring Security方法和一个过滤器（如果标准的基本身份验证足够好的话，或者可以使用一个自定义的过滤器，比如预身份验证，如果它不能满足您的需要的话）。在Spring Boot应用程序中，您可以直接获得http基本安全性，因此您根本不需要做任何事情来开始。