具有基本身份验证和OAuth订单问题的Spring Boot安全性

Question

我试图实现一个简单的Spring启动项目。我有几个Restendpoint，我必须以不同的方式保护它们。一个必须由基本身份验证保护，另一个必须由OAuth保护，另一个必须由自定义安全实现保护。

REST-endpoint：

• /基本/授权

从教程中，我知道我必须设置安全适配器的顺序。我的第一个意图是在十个步骤中设置顺序（例如@Order（10），@Order（20）），以防我需要在两者之间添加其他安全过滤器。通过这样做，我调查了以下行为：

• 如果我添加了基本的身份验证过滤器和OAuth过滤器，只有OAuth过滤器可以工作。
• 如果我添加基本的认证过滤器与@订单（1）或@订单（2）和一个OAuth过滤器与@订单（4）两个过滤器的工作。
• 如果我添加一个过滤器到@订单（3）我收到一个错误，说，订单3已经在使用，不能配置两次。

所以有一个默认的Spring安全适配器（或任何东西），它具有默认的顺序3。我想我通过添加@EnableWebSecurity来禁用每个默认的Spring安全行为。在我没有通过谷歌找到答案后，我的问题是：

• 我做的对吗
• spring订购3的安全适配器是什么
• 默认安全适配器是否阻止我的基本身份验证实现

Web安全配置：

   @Configuration
   @EnableWebSecurity
   public class WebSecurityConfig {

    @Order(10)
    @Configuration
    public class BasicAuthConfig extends WebSecurityConfigurerAdapter {
        @Value("${security.user.password}")
        private String password;
        @Value("${security.user.name}")
        private String username;

        private static final String ROLE_ADMIN = "ADMIN";

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.inMemoryAuthentication().withUser(username).password(password).roles(ROLE_ADMIN);
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable();
            http.requestMatchers().antMatchers("/basic/**", "/") //
                    .and().authorizeRequests().anyRequest().authenticated() //
                    .and().httpBasic();
        }
    }

    @Order(20)
    @Configuration
    @EnableResourceServer
    @EnableGlobalMethodSecurity(prePostEnabled = true)
    protected static class Oauth2ServerConfig extends ResourceServerConfigurerAdapter {
        @Override
        public void configure(HttpSecurity http) throws Exception {
            System.out.println("Filter called");
            // @formatter:off
            http.csrf().disable();
            http.authorizeRequests().antMatchers("/application/**").authenticated()
                    // .antMatchers(GET, "/application/secure").authenticated()
                    .anyRequest().authenticated(); 
            // @formatter:on
        }

     // offline token validator

    }

Answer 1

这是一个老生常谈的问题，但如果有人仍然想知道问题是什么，以下是我的观察结果：

• @EnableResourceServer导入ResourceServerConfiguration，其顺序为3
• 例如，有一些方法允许您在order 3资源服务器配置器之前添加2个以上的筛选器
  • 通过给他们一些负序值（虽然我不认为负值会有什么特殊，但我们需要考虑其他隐式web安全配置程序——例如，默认启用的顺序为0的配置程序。然而，这意味着随着新功能的引入，不同版本的框架中的过滤器之间可能会发生冲突）；
  • 通过将它们添加为资源配置器（如果用户未配置任何内容，ResourceServerConfiguration类不会添加任何请求匹配器，但会强制回退到anyRequest（）.authenticated（））