带有Spring Security性和Java配置的自定义身份验证管理器

Question

我使用Spring Security和SpringMVC来创建一个与现有应用程序（我将把它称为BackendApp）对话的web应用程序（为了清晰起见，我将把它称为WebApp）。

我希望将身份验证责任委托给BackendApp（这样我就不需要同步两个应用程序）。

我知道我需要编写一个自定义的身份验证管理器来实现这一点，但是我对spring非常陌生，找不到关于如何实现它的任何信息。

我相信我需要做这样的事情：

public class CustomAuthenticationManager implements AuthenticationManager{

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {

        String username = authentication.getName();
        String pw       = authentication.getCredentials().toString();

        // Code to make rest call here and check for OK or Unauthorised.
        // What do I return?

    }

}

如果成功，我是否设置authentication.setauthenticated（true）；如果不成功，我是否设置false？

编写完成后，如何配置spring security以使用java配置文件使用此身份验证管理器？

提前感谢您的帮助。

Answer 1

看看下面我的样本。必须返回UsernamePasswordAuthenticationToken。它包含委托人和授权人。希望我能帮上忙：）

public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    String username = authentication.getPrincipal() + "";
    String password = authentication.getCredentials() + "";

    User user = userRepo.findOne(username);
    if (user == null) {
        throw new BadCredentialsException("1000");
    }
    if (!encoder.matches(password, user.getPassword())) {
        throw new BadCredentialsException("1000");
    }
    if (user.isDisabled()) {
        throw new DisabledException("1001");
    }
    List<Right> userRights = rightRepo.getUserRights(username);
    return new UsernamePasswordAuthenticationToken(username, null, userRights.stream().map(x -> new SimpleGrantedAuthority(x.getName())).collect(Collectors.toList()));
}

PS：userRepo和rightRepo是Spring-Data-JPA存储库，它们访问我的自定义User-DB

SpringSecurity JavaConfig：

@Configuration
@EnableWebMvcSecurity
public class MySecurityConfiguration extends WebSecurityConfigurerAdapter {

public MySecurityConfiguration() {
    super(false);
}

@Override
protected AuthenticationManager authenticationManager() throws Exception {
    return new ProviderManager(Arrays.asList((AuthenticationProvider) new AuthProvider()));
}

}