|
对于最新的稳定版本，请使用 Spring Framework 7.0.6! |
Token Authentication
Spring Security OAuth 提供基于Tokens的安全支持，包括JSON Web Token（JWT）。 您可以将其用作Web应用程序中的身份验证机制， 包括WebSocket上的STOMP交互，如上一节所述 （即通过基于cookie的会话来维持身份）。
同时，基于 cookie 的会话并不总是最佳选择（例如，在不维护服务器端会话的应用程序中，或者在移动应用程序中，通常使用头信息进行身份验证）。
The WebSocket协议，RFC 6455 “并未规定服务器在WebSocket握手期间对客户端进行身份验证的特定方式。” 实际上，浏览器客户端只能使用标准的身份验证头（即基本HTTP身份验证）或cookies，而不能（例如）提供自定义头。同样，SockJS JavaScript客户端也无法在SockJS传输请求中发送HTTP头。请参见 sockjs-client问题196。 相反，它允许发送查询参数，您可以使用这些参数发送Tokens，但这也有其自身的缺点（例如，Tokens可能会意外地与URL一起记录在服务器日志中）。
| 前面的限制适用于基于浏览器的客户端，不适用于基于 Spring 的 Java STOMP 客户端，该客户端支持在 WebSocket 和 SockJS 请求中发送头信息。 |
因此，希望避免使用 Cookie 的应用程序在 HTTP 协议层可能没有好的替代方案进行身份验证。相反，它们可能更倾向于在 STOMP 消息协议层通过报头进行身份验证。这样做需要两个简单的步骤：
-
使用STOMP客户端在连接时传递身份验证头。
-
使用
ChannelInterceptor处理身份验证头信息。
下一个示例使用服务器端配置来注册一个自定义的身份验证拦截器。请注意，拦截器只需对 CONNECT Message 进行身份验证并设置用户头信息即可。Spring 会记录并保存已验证的用户，并将其与同一会话上的后续 STOMP 消息关联。下面的示例展示了如何注册一个自定义的身份验证拦截器：
@Configuration
@EnableWebSocketMessageBroker
public class MyConfig implements WebSocketMessageBrokerConfigurer {
@Override
public void configureClientInboundChannel(ChannelRegistration registration) {
registration.interceptors(new ChannelInterceptor() {
@Override
public Message<?> preSend(Message<?> message, MessageChannel channel) {
StompHeaderAccessor accessor =
MessageHeaderAccessor.getAccessor(message, StompHeaderAccessor.class);
if (StompCommand.CONNECT.equals(accessor.getCommand())) {
Authentication user = ... ; // access authentication header(s)
accessor.setUser(user);
}
return message;
}
});
}
}此外，请注意，当您使用 Spring Security 的消息授权时，目前需要确保认证 ChannelInterceptor 配置的顺序在 Spring Security 之前。这可以通过在自己的 WebSocketMessageBrokerConfigurer 实现中声明自定义拦截器来完成，并用 @Order(Ordered.HIGHEST_PRECEDENCE + 99) 标记。