|
此版本仍在开发中，尚不被认为是稳定的。对于最新的稳定版本，请使用 Spring Security 6.5.3！ |
Spring Security 常见问题解答
此常见问题解答包含以下部分：
一般问题
本常见问题解答回答了以下一般问题：
Spring Security 可以满足我所有的应用程序安全要求吗？
Spring Security 为您提供了一个灵活的框架来满足您的身份验证和授权要求，但构建安全应用程序还有许多其他注意事项超出其范围。 Web 应用程序容易受到各种攻击，您应该熟悉这些攻击，最好是在开始开发之前，以便您可以从一开始就考虑到它们进行设计和编码。 查看 OWASP 网站，了解有关 Web 应用程序开发人员面临的主要问题以及您可以使用的对策的信息。
为什么不使用web.xml安全性？
假设您正在开发一个基于 Spring 的企业应用程序。 您通常需要解决四个安全问题：身份验证、Web 请求安全、服务层安全性（实现业务逻辑的方法）和域对象实例安全性（不同的域对象可以具有不同的权限）。考虑到这些典型要求，我们有以下考虑：
-
身份验证：servlet 规范提供了一种身份验证方法。 但是，您需要配置容器以执行身份验证，这通常需要编辑特定于容器的“领域”设置。 这构成了不可移植的配置。此外，如果您需要编写一个实际的 Java 类来实现容器的身份验证接口，它就会变得更加不可移植。 借助 Spring Security，您可以实现完全的可移植性——一直到 WAR 级别。 此外，Spring Security 还提供了经过生产验证的身份验证提供程序和机制的选择，这意味着您可以在部署时切换身份验证方法。 这对于编写需要在未知目标环境中工作的产品的软件提供商来说尤其有价值。
-
Web 请求安全：Servlet 规范提供了一种保护请求 URI 的方法。 但是，这些 URI 只能以 Servlet 规范自己的有限 URI 路径格式表示。 Spring Security 提供了一种更全面的方法。 例如，您可以使用 Ant 路径或正则表达式，您可以考虑 URI 的部分，而不仅仅是请求的页面（例如 您可以考虑 HTTP GET 参数），并且您可以实现自己的配置数据的运行时源。 这意味着您可以在 Web 应用程序的实际执行期间动态更改 Web 请求安全性。
-
服务层和域对象安全性：servlet 规范中缺乏对服务层安全性或域对象实例安全性的支持，这对多层应用程序来说是严重的限制。通常，开发人员要么忽略这些要求，要么在他们的 MVC 控制器代码中实现安全逻辑（或者更糟糕的是，在视图内部）。这种方法有严重的缺点：
-
关注点分离：授权是一个跨领域关注点，应该这样实现。实现授权代码的 MVC 控制器或视图使测试控制器和授权逻辑变得更加困难，更难调试，并且通常会导致代码重复。
-
支持富客户端和 Web 服务：如果最终必须支持其他客户端类型，则嵌入在 Web 层中的任何授权代码都是不可重用的。应该考虑 Spring 远程处理导出器仅导出服务层 Bean（而不是 MVC 控制器）。因此，授权逻辑需要位于服务层中以支持多种客户端类型。
-
分层问题：MVC 控制器或视图是不正确的体系结构层，用于在其中实现有关服务层方法或域对象实例的授权决策。虽然主体可以传递给服务层以使其能够做出授权决策，但这样做会在每个服务层方法上引入一个额外的参数。一种更优雅的方法是使用
ThreadLocal保留本金，尽管这可能会增加开发时间，使使用专用安全框架变得更加经济（在成本效益的基础上）。 -
授权代码质量：人们常说 Web 框架，它们“使做正确的事情变得更容易，而做错误的事情更难”。安全框架是一样的，因为它们是出于广泛的目的以抽象方式设计的。从头开始编写自己的授权代码并不能提供框架提供的“设计检查”，而且内部授权代码通常缺乏广泛部署、同行评审和新版本带来的改进。
-
对于简单的应用程序，servlet 规范的安全性可能就足够了。尽管在 Web 容器可移植性、配置要求、有限的 Web 请求安全灵活性以及不存在的服务层和域对象实例安全性的上下文中考虑时，开发人员经常寻找替代解决方案的原因就很清楚了。
需要哪些 Java 和 Spring Framework 版本？
Spring Security 3.0 和 3.1 至少需要 JDK 1.5，并且至少还需要 Spring 3.0.3。理想情况下，您应该使用最新版本以避免出现问题。
Spring Security 2.0.x 要求最低 JDK 版本为 1.4，并且是针对 Spring 2.0.x 构建的。它还应该与使用 Spring 2.5.x 的应用程序兼容。
我有一个复杂的场景。会有什么问题呢？
（此答案通过处理特定场景来解决复杂的场景。
假设您是 Spring Security 的新手，需要构建一个应用程序，该应用程序支持 HTTPS 上的 CAS 单点登录，同时允许对某些 URL 进行本地基本身份验证，针对多个后端用户信息源（LDAP 和 JDBC）进行身份验证。您已经复制了一些配置文件，但发现它不起作用。可能出了什么问题？
您需要先了解打算使用的技术，然后才能使用它们成功构建应用程序。 安全很复杂。 使用登录表单和一些具有 Spring Security 命名空间的硬编码用户来设置简单的配置相当简单。 转向使用有支持的 JDBC 数据库也很容易。 但是，如果您尝试直接跳转到像此场景这样的复杂部署场景，您几乎肯定会感到沮丧。 设置 CAS 等系统、配置 LDAP 服务器和正确安装 SSL 证书所需的学习曲线有很大的飞跃。 所以你需要一步一步地做事。
从 Spring Security 的角度来看，您应该做的第一件事是按照网站上的“入门”指南进行作。 这将引导您完成一系列步骤来启动和运行，并了解框架的运行方式。 如果您使用不熟悉的其他技术，您应该进行一些研究，并尝试确保在将它们组合到复杂的系统中之前可以单独使用它们。
常见问题
本节解决了人们在使用 Spring Security 时遇到的最常见问题：
-
认证
-
会话管理
-
杂项
当我尝试登录时，我收到一条错误消息，显示“凭据错误”。怎么了？
这意味着身份验证失败。 它没有说明原因，因为最好避免提供可能有助于攻击者猜测帐户名或密码的详细信息。
这也意味着，如果您在网上提出这个问题，除非您提供其他信息，否则您不应该期望得到答案。
与任何问题一样，您应该检查调试日志的输出，并记下任何异常堆栈跟踪和相关消息。
应在调试器中单步执行代码，以查看身份验证失败的位置及其原因。
您还应该编写一个测试用例，用于在应用程序外部执行身份验证配置。
如果您使用散列密码，请确保存储在数据库中的值与PasswordEncoder在您的应用程序中配置。
当我尝试登录时，我的应用程序进入“无限循环”。这是怎么回事？
无限循环和重定向到登录页面的常见用户问题是由于意外将登录页面配置为“安全”资源引起的。
确保您的配置允许匿名访问登录页面，方法是将其从安全过滤器链中排除或将其标记为需要ROLE_ANONYMOUS.
如果您的AccessDecisionManager包括一个AuthenticatedVoter，您可以使用IS_AUTHENTICATED_ANONYMOUSLY属性。如果您使用标准命名空间配置设置，则会自动提供此功能。
从 Spring Security 2.0.1 开始，当您使用基于命名空间的配置时，会检查加载应用程序上下文，如果您的登录页面似乎受到保护，则会记录警告消息。
我收到一个异常，显示消息“访问被拒绝（用户是匿名的）”。怎么了？
这是匿名用户首次尝试访问受保护资源时出现的调试级别消息。
DEBUG [ExceptionTranslationFilter] - Access is denied (user is anonymous); redirecting to authentication entry point
org.springframework.security.AccessDeniedException: Access is denied
at org.springframework.security.vote.AffirmativeBased.decide(AffirmativeBased.java:68)
at org.springframework.security.intercept.AbstractSecurityInterceptor.beforeInvocation(AbstractSecurityInterceptor.java:262)这是正常现象，不应该担心。
为什么即使我注销了应用程序，我仍然可以看到一个安全的页面？
最常见的原因是您的浏览器已缓存该页面，并且您看到正在从浏览器缓存中检索的副本。
通过检查浏览器是否确实在发送请求来验证这一点（检查您的服务器访问日志和调试日志或使用合适的浏览器调试插件，例如 Firefox 的“篡改数据”）。这与 Spring Security 无关，您应该配置您的应用程序或服务器以设置适当的Cache-Control响应标头。
请注意，SSL 请求永远不会被缓存。
我收到一个异常，并显示一条消息“在 SecurityContext 中找不到身份验证对象”。怎么了？
以下列表显示了匿名用户首次尝试访问受保护资源时出现的另一个调试级别消息。但是，此列表显示了当您没有AnonymousAuthenticationFilter在过滤器链配置中：
DEBUG [ExceptionTranslationFilter] - Authentication exception occurred; redirecting to authentication entry point
org.springframework.security.AuthenticationCredentialsNotFoundException:
An Authentication object was not found in the SecurityContext
at org.springframework.security.intercept.AbstractSecurityInterceptor.credentialsNotFound(AbstractSecurityInterceptor.java:342)
at org.springframework.security.intercept.AbstractSecurityInterceptor.beforeInvocation(AbstractSecurityInterceptor.java:254)这是正常的，无需担心。
我无法使 LDAP 身份验证正常工作。我的配置有什么问题？
请注意，LDAP 目录的权限通常不允许您读取用户的密码。 因此，通常无法使用 什么是 UserDetailsService 以及我需要一个吗？其中 Spring Security 将存储的密码与用户提交的密码进行比较。 最常见的方法是使用 LDAP“绑定”，这是 LDAP 协议支持的作之一。使用这种方法，Spring Security 通过尝试以用户身份向目录进行身份验证来验证密码。
LDAP 身份验证最常见的问题是缺乏对目录服务器树结构和配置的了解。 这因公司而异，因此您必须自己找出答案。 在将 Spring Security LDAP 配置添加到应用程序之前，您应该使用标准 Java LDAP 代码（不涉及 Spring Security）编写一个简单的测试，并确保您可以先让它工作。 例如，若要对用户进行身份验证，可以使用以下代码：
-
Java
-
Kotlin
@Test
public void ldapAuthenticationIsSuccessful() throws Exception {
Hashtable<String,String> env = new Hashtable<String,String>();
env.put(Context.SECURITY_AUTHENTICATION, "simple");
env.put(Context.SECURITY_PRINCIPAL, "cn=joe,ou=users,dc=mycompany,dc=com");
env.put(Context.PROVIDER_URL, "ldap://mycompany.com:389/dc=mycompany,dc=com");
env.put(Context.SECURITY_CREDENTIALS, "joespassword");
env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
InitialLdapContext ctx = new InitialLdapContext(env, null);
}@Test
fun ldapAuthenticationIsSuccessful() {
val env = Hashtable<String, String>()
env[Context.SECURITY_AUTHENTICATION] = "simple"
env[Context.SECURITY_PRINCIPAL] = "cn=joe,ou=users,dc=mycompany,dc=com"
env[Context.PROVIDER_URL] = "ldap://mycompany.com:389/dc=mycompany,dc=com"
env[Context.SECURITY_CREDENTIALS] = "joespassword"
env[Context.INITIAL_CONTEXT_FACTORY] = "com.sun.jndi.ldap.LdapCtxFactory"
val ctx = InitialLdapContext(env, null)
}会话管理
会话管理问题是常见的问题来源。 如果您正在开发 Java Web 应用程序，您应该了解如何在 servlet 容器和用户浏览器之间维护会话。 您还应该了解安全和非安全 cookie 之间的区别，以及使用 HTTP 和 HTTPS 以及在两者之间切换的影响。 Spring Security 与维护会话或提供会话标识符无关。 这完全由 servlet 容器处理。
我正在使用 Spring Security 的并发会话控制来防止用户同时登录多次。当我在登录后打开另一个浏览器窗口时，它不会阻止我再次登录。为什么我可以多次登录？
浏览器通常为每个浏览器实例维护一个会话。
您不能同时进行两个单独的会话。
因此，如果您在另一个窗口或选项卡中再次登录，则只是在同一会话中重新进行身份验证。
因此，如果您在另一个窗口或选项卡中再次登录，则表示您将在同一会话中重新进行身份验证。
服务器对选项卡、窗口或浏览器实例一无所知。
它看到的只是 HTTP 请求，并根据JSESSIONID它们包含的 cookie。
当用户在会话期间进行身份验证时，Spring Security 的并发会话控制会检查他们拥有的其他经过身份验证的会话的数量。
如果它们已使用同一会话进行身份验证，则重新身份验证无效。
为什么当我通过 Spring Security 进行身份验证时会话 ID 会更改？
使用默认配置，Spring Security 会在用户进行身份验证时更改会话 ID。 如果您使用 Servlet 3.1 或更高版本的容器，则会话 ID 将被简单地更改。 如果您使用较旧的容器，Spring Security 会使现有会话失效，创建一个新会话，并将会话数据传输到新会话。 以这种方式更改会话标识符可以防止“会话固定”攻击。 您可以在网上和参考手册中找到更多相关信息。
我使用 Tomcat（或其他一些 servlet 容器）并为我的登录页面启用了 HTTPS，然后切换回 HTTP。这是行不通的。身份验证后，我最终回到登录页面。
它不起作用 - 我只是在身份验证后回到登录页面。
发生这种情况是因为在 HTTPS 下创建的会话（会话 cookie 被标记为“安全”）随后无法在 HTTP 下使用。浏览器不会将 cookie 发送回服务器，并且任何会话状态（包括安全上下文信息）都会丢失。首先在 HTTP 中启动会话应该有效，因为会话 cookie 未标记为安全。 但是，Spring Security 的会话固定保护可能会干扰这一点，因为它会导致将新的会话 ID cookie 发送回用户的浏览器，通常带有安全标志。 要解决此问题，您可以禁用会话固定保护。但是，在较新的 Servlet 容器中，您还可以将会话 cookie 配置为从不使用安全标志。
|
一般来说，在 HTTP 和 HTTPS 之间切换并不是一个好主意，因为任何使用 HTTP 的应用程序都容易受到中间人攻击。 为了真正安全，用户应该开始以 HTTPS 访问您的网站并继续使用它，直到他们注销。 即使单击通过 HTTP 访问的页面中的 HTTPS 链接也存在潜在风险。 如果您需要更有说服力，请查看像 sslstrip 这样的工具。 |
我没有在 HTTP 和 HTTPS 之间切换，但我的会话仍然丢失。发生了什么事？
通过交换会话 cookie 或添加jsessionid参数添加到 URL（如果您使用 JSTL 输出 URL 或调用HttpServletResponse.encodeUrl在 URL 上（例如，在重定向之前）。如果客户端禁用了 cookie，并且您没有重写 URL 以包含jsessionid，会话丢失。
请注意，出于安全原因，最好使用 cookie，因为它不会在 URL 中公开会话信息。
我正在尝试使用并发会话控制支持，但它不允许我重新登录，即使我确定我已经注销并且没有超过允许的会话。怎么了？
确保您已将监听器添加到web.xml文件。 必须确保在会话被销毁时通知 Spring Security 会话注册表。没有它，会话信息不会从注册表中删除。以下示例在web.xml文件：
<listener>
<listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
</listener>Spring Security 通过将 create-session 属性设置为 never 来在某处创建一个会话，即使我已将其配置为不。怎么了？
这通常意味着用户的应用程序正在某处创建会话，但他们不知道。
最常见的罪魁祸首是 JSP。许多人不知道 JSP 默认创建会话。
要防止 JSP 创建会话，请将<%@ page session="false" %>指令添加到页面顶部。
如果无法确定会话的创建位置，可以添加一些调试代码来跟踪位置。一种方法是添加一个javax.servlet.http.HttpSessionListener，调用Thread.dumpStack()在sessionCreated方法，到你的应用程序。
我在执行 POST 时收到 403 Forbidden。怎么了？
如果 HTTP POST 返回 HTTP 403 Forbidden 错误，但适用于 HTTP GET，则该问题很可能与 CSRF 有关。提供 CSRF Tokens或禁用 CSRF 保护（不建议使用后者）。
我正在使用 RequestDispatcher 将请求转发到另一个 URL，但未应用我的安全约束。
默认情况下，筛选器不应用于转发或包含。
如果您确实希望将安全过滤器应用于转发或包含，则必须在web.xml文件，使用<dispatcher>元素，它是<filter-mapping>元素。
我已将 Spring Security 的 <global-method-security> 元素添加到我的应用程序上下文中，但是，如果我将安全注释添加到我的 Spring MVC 控制器 bean（Struts作等），它们似乎没有效果。为什么不呢？
在 Spring Web 应用程序中，保存调度程序 servlet 的 Spring MVC bean 的应用程序上下文通常与主应用程序上下文分开。
它通常在名为myapp-servlet.xml哪里myapp是分配给 Spring 的名称DispatcherServlet在web.xml文件。一个应用程序可以有多个DispatcherServlet实例，每个实例都有自己的隔离应用程序上下文。
这些“子”上下文中的 Bean 对应用程序的其余部分不可见。
“父”应用程序上下文由ContextLoaderListener您可以在web.xml文件，并且对所有子上下文都可见。
此父上下文通常是定义安全配置的地方，包括<global-method-security>元素。因此，不会强制执行应用于这些 Web Bean 中方法的任何安全约束，因为无法从DispatcherServlet上下文。
您需要将<global-method-security>声明到 Web 上下文中，或将要保护的 bean 移动到主应用程序上下文中。
通常，我们建议在服务层而不是单个 Web 控制器上应用方法安全性。
Spring Security架构问题
本节解决常见的 Spring Security 架构问题：
我如何知道 X 类在哪个包中？
查找类的最佳方法是在 IDE 中安装 Spring Security 源代码。该发行版包括项目划分为的每个模块的源 jar。将它们添加到您的项目源路径中，然后您可以直接导航到 Spring Security 类（Ctrl-Shift-T在 Eclipse 中）。这也使调试变得更加容易，并允许您通过直接查看异常发生的代码来了解异常发生的情况来排查异常。
命名空间元素如何映射到传统的 bean 配置？
参考指南的命名空间附录中对命名空间创建了哪些 Bean 进行了总体概述。
blog.springsource.com 上还有一篇详细的博客文章，名为“Behind the Spring Security Namespace”。如果您想了解完整的详细信息，那么代码位于spring-security-configSpring Security 3.0 发行版中的模块。
您可能应该先阅读标准 Spring Framework 参考文档中有关命名空间解析的章节。
“ROLE_”是什么意思，为什么我的角色名称需要它？
Spring Security 具有基于投票者的架构，这意味着访问决策由一系列AccessDecisionVoter实例。
投票者对为安全资源（例如方法调用）指定的“配置属性”进行作。使用这种方法时，并非所有属性都与所有选民相关，选民需要知道何时应忽略某个属性（弃权），以及何时应根据属性值投票授予或拒绝访问权限。
最常见的投票者是RoleVoter，默认情况下，每当它找到具有ROLE_前缀。
它对属性（例如ROLE_USER） 替换为已分配当前用户的权限的名称。
如果它找到匹配项（他们有一个名为ROLE_USER），它投票授予访问权限。否则，它投票拒绝访问。
您可以通过设置rolePrefix属性RoleVoter.如果只需要在应用程序中使用角色，而不需要其他自定义投票者，则可以将前缀设置为空字符串。在这种情况下，RoleVoter将所有属性视为角色。
我如何知道要将哪些依赖项添加到我的应用程序中以使用 Spring Security？
这取决于您正在使用哪些功能以及您正在开发的应用程序类型。
在 Spring Security 3.0 中，项目 jar 被划分为明显不同的功能区域，因此很容易从应用程序需求中确定您需要哪些 Spring Security jar。
所有应用程序都需要spring-security-core罐。
如果您正在开发 Web 应用程序，则需要spring-security-web罐。
如果您使用的是安全命名空间配置，则需要spring-security-config罐。对于 LDAP 支持，您需要spring-security-ldap罐。等等。
对于第三方罐子来说，情况并不总是那么明显。
一个好的起点是从预构建的示例应用程序之一复制这些应用程序WEB-INF/lib目录。
对于基本应用程序，可以从教程示例开始。
对于基本应用程序，可以从教程示例开始。
如果要将 LDAP 与嵌入式测试服务器一起使用，请使用 LDAP 示例作为起点。
参考手册还包括一个附录，其中列出了每个 Spring Security 模块的第一级依赖项，以及有关它们是否是可选的以及何时需要它们的一些信息。
如果您使用 Maven 构建项目，请将适当的 Spring Security 模块作为依赖项添加到pom.xmlfile 会自动拉入框架所需的核心 jar。
任何在 Spring Security 中标记为“可选”的pom.xml必须将文件添加到您自己的文件中pom.xml如果需要，请提交。
运行嵌入式 UnboundID LDAP 服务器需要哪些依赖项？
您需要向项目添加以下依赖项：
-
Maven
-
Gradle
<dependency>
<groupId>com.unboundid</groupId>
<artifactId>unboundid-ldapsdk</artifactId>
<version>7.0.1</version>
<scope>runtime</scope>
</dependency>implementation 'com.unboundid:unboundid-ldapsdk:7.0.1'运行嵌入式 ApacheDS LDAP 服务器需要哪些依赖项？
Spring Security 7 删除了对 Apache DS 的支持。 请改用 UnboundID。
什么是 UserDetailsService，我需要一个吗？
UserDetailsService是一个 DAO 接口，用于加载特定于用户帐户的数据。
除了加载该数据以供框架内的其他组件使用外，它没有其他功能。
它不负责对用户进行身份验证。
使用用户名和密码组合对用户进行身份验证最常由DaoAuthenticationProvider，注入了UserDetailsService让它加载用户的密码（和其他数据），将其与提交的值进行比较。
请注意，如果您使用 LDAP，则此方法可能不起作用。
如果要自定义身份验证过程，则应实现AuthenticationProvider你自己。
有关将 Spring Security 身份验证与 Google App Engine 集成的示例，请参阅此博客文章。
常见作方法问题
本节解决有关 Spring Security 的常见作方法问题：
我需要使用更多信息登录，而不仅仅是用户名。如何添加对额外登录字段（例如公司名称）的支持？
这个问题反复出现，所以你可以通过在线搜索找到更多信息。
提交的登录信息由UsernamePasswordAuthenticationFilter.您需要自定义此类以处理额外的数据字段。一种选择是使用您自己的自定义身份验证Tokens类（而不是标准UsernamePasswordAuthenticationToken).另一种选择是将额外的字段与用户名连接起来（例如，通过使用:字符作为分隔符），并将它们传递到 username 属性中UsernamePasswordAuthenticationToken.
您还需要自定义实际的身份验证过程。
例如，如果您使用自定义身份验证Tokens类，则必须编写一个AuthenticationProvider（或扩展标准DaoAuthenticationProvider） 来处理它。如果您已经连接了字段，则可以实现自己的字段UserDetailsService将它们拆分并加载适当的用户数据以进行身份验证。
如何应用不同的截距 url 约束，其中仅请求的 URL 的片段值不同（例如 /thing1#thing2 和 /thing1#thing3）？
您无法这样做，因为片段不会从浏览器传输到服务器。 从服务器的角度来看，URL 是相同的。 这是 GWT 用户的常见问题。
如何实现在 UserDetailsService 中访问用户的 IP 地址（或其他 Web 请求数据）？
你不能（不求助于线程局部变量之类的东西），因为提供给接口的唯一信息是用户名。
而不是实施UserDetailsService，您应该实现AuthenticationProvider直接从提供的AuthenticationTokens。
在标准 Web 设置中，getDetails()方法Authentication对象将返回一个WebAuthenticationDetails.如果您需要其他信息，可以注入自定义AuthenticationDetailsSource到您正在使用的身份验证过滤器中。
如果您使用命名空间，例如使用<form-login>元素，那么你应该删除这个元素并用<custom-filter>指向显式配置的声明UsernamePasswordAuthenticationFilter.
如何从 UserDetailsService 访问 HttpSession？
你不能，因为UserDetailsService不知道 servlet API。如果要存储自定义用户数据，则应自定义UserDetails返回的对象。
然后，可以通过线程本地SecurityContextHolder.对SecurityContextHolder.getContext().getAuthentication().getPrincipal()返回此自定义对象。
如果您确实需要访问会话，则必须通过自定义 Web 层来实现。
如何实现在 UserDetailsService 中访问用户的密码？
你不能（也不应该，即使你找到了这样做的方法）。您可能误解了它的目的。 请参阅常见问题解答前面的“什么是 UserDetailsService？”。
如何在应用程序中动态定义受保护的 URL？
人们经常问如何将安全 URL 和安全元数据属性之间的映射存储在数据库中，而不是在应用程序上下文中。
您应该问自己的第一件事是您是否真的需要这样做。 如果应用程序需要安全，它还需要根据定义的策略对安全性进行彻底测试。 在推出到生产环境之前，可能需要进行审核和验收测试。 具有安全意识的组织应该意识到，通过在运行时通过更改配置数据库中的一两行来修改安全设置，其勤奋测试过程的好处可能会立即消失。 如果您已经考虑到这一点（可能通过在应用程序中使用多层安全），Spring Security 允许您完全自定义安全元数据的来源。 如果您愿意，您可以使其完全动态。
方法和 Web 安全都受到AuthorizationManager.
对于 Web 安全，您可以提供自己的实现AuthorizationManager<RequestAuthorizationContext>并将其提供给滤波链 DSL，如下所示：
-
Java
-
Kotlin
@Component
public class DynamicAuthorizationManager implements AuthorizationManager<RequestAuthorizationContext> {
private final MyExternalAuthorizationService authz;
// ...
@Override
public AuthorizationResult authorize(Supplier<Authentication> authentication, RequestAuthorizationContext context) {
// query the external service
}
}
// ...
http
.authorizeHttpRequests((authorize) -> authorize.anyRequest().access(dynamicAuthorizationManager))@Component
class DynamicAuthorizationManager : AuthorizationManager<RequestAuthorizationContext?> {
private val rules: MyAuthorizationRulesRepository? = null
// ...
override fun authorize(authentication: Supplier<Authentication?>?, context: RequestAuthorizationContext?): AuthorizationResult {
// look up rules from the database
}
}
// ...
http {
authorizeHttpRequests {
authorize(anyRequest, dynamicAuthorizationManager)
}
}为了方法安全，您可以提供自己的实现AuthorizationManager<MethodInvocation>并按如下方式将其提供给 Spring AOP：
-
Java
-
Kotlin
@Component
public class DynamicAuthorizationManager implements AuthorizationManager<MethodInvocation> {
private final MyExternalAuthorizationService authz;
// ...
@Override
public AuthorizationResult authorize(Supplier<Authentication> authentication, MethodInvocation invocation) {
// query the external service
}
}
// ...
@Bean
static Advisor securedAuthorizationAdvisor(DynamicAuthorizationManager dynamicAuthorizationManager) {
return AuthorizationManagerBeforeMethodInterceptor.secured(dynamicAuthorizationManager)
}@Component
class DynamicAuthorizationManager : AuthorizationManager<MethodInvocation?> {
private val authz: MyExternalAuthorizationService? = null
// ...
override fun authorize(authentication: Supplier<Authentication?>?, invocation: MethodInvocation?): AuthorizationResult {
// query the external service
}
}
companion object {
@Bean
fun securedAuthorizationAdvisor(dynamicAuthorizationManager: DynamicAuthorizationManager): Advisor {
return AuthorizationManagerBeforeMethodInterceptor.preAuthorize(dynamicAuthorizationManager)
}
}如何针对 LDAP 进行身份验证，但从数据库加载用户角色？
这LdapAuthenticationProviderbean（在Spring Security中处理正常的LDAP身份验证）配置了两个单独的策略接口，一个执行身份验证，另一个加载用户权限，称为LdapAuthenticator和LdapAuthoritiesPopulator分别。
这DefaultLdapAuthoritiesPopulator从 LDAP 目录加载用户权限，并具有各种配置参数，可让您指定如何检索这些参数。
要改用 JDBC，您可以使用适合您的模式的任何 SQL 自己实现接口：
-
Java
-
Kotlin
public class MyAuthoritiesPopulator implements LdapAuthoritiesPopulator {
@Autowired
JdbcTemplate template;
List<GrantedAuthority> getGrantedAuthorities(DirContextOperations userData, String username) {
return template.query("select role from roles where username = ?",
new String[] {username},
new RowMapper<GrantedAuthority>() {
/**
* We're assuming here that you're using the standard convention of using the role
* prefix "ROLE_" to mark attributes which are supported by Spring Security's RoleVoter.
*/
@Override
public GrantedAuthority mapRow(ResultSet rs, int rowNum) throws SQLException {
return new SimpleGrantedAuthority("ROLE_" + rs.getString(1));
}
});
}
}class MyAuthoritiesPopulator : LdapAuthoritiesPopulator {
@Autowired
lateinit var template: JdbcTemplate
override fun getGrantedAuthorities(userData: DirContextOperations, username: String): MutableList<GrantedAuthority?> {
return template.query("select role from roles where username = ?",
arrayOf(username)
) { rs, _ ->
/**
* We're assuming here that you're using the standard convention of using the role
* prefix "ROLE_" to mark attributes which are supported by Spring Security's RoleVoter.
*/
SimpleGrantedAuthority("ROLE_" + rs.getString(1))
}
}
}然后，您将此类型的 bean 添加到应用程序上下文中，并将其注入到LdapAuthenticationProvider.这在参考手册的 LDAP 章节中关于使用显式 Spring Bean 配置 LDAP 的部分中进行了介绍。
请注意，在这种情况下，您不能使用命名空间进行配置。
您还应该查阅 Javadoc 以获取相关的类和接口。
我想修改由命名空间创建的 bean 的属性，但模式中没有任何内容支持它。除了放弃命名空间的使用，我还能做什么？
命名空间功能是有意限制的，因此它不涵盖您可以使用普通 bean 执行的所有作。
如果你想做一些简单的事情，比如修改一个 bean 或注入一个不同的依赖项，你可以通过添加一个BeanPostProcessor到你的配置。你可以在 Spring 参考手册中找到更多信息。为此，你需要了解一些关于创建了哪些 bean，所以你还应该阅读前面问题中提到的关于命名空间如何映射到 Spring bean 的博客文章。
通常，您会将所需的功能添加到postProcessBeforeInitialization方法BeanPostProcessor. 假设您要自定义AuthenticationDetailsSource由UsernamePasswordAuthenticationFilter（由form-login元素）。你想提取一个名为CUSTOM_HEADER并在对用户进行身份验证时使用它。处理器类将类似于以下列表：
-
Java
-
Kotlin
public class CustomBeanPostProcessor implements BeanPostProcessor {
public Object postProcessAfterInitialization(Object bean, String name) {
if (bean instanceof UsernamePasswordAuthenticationFilter) {
System.out.println("********* Post-processing " + name);
((UsernamePasswordAuthenticationFilter)bean).setAuthenticationDetailsSource(
new AuthenticationDetailsSource() {
public Object buildDetails(Object context) {
return ((HttpServletRequest)context).getHeader("CUSTOM_HEADER");
}
});
}
return bean;
}
public Object postProcessBeforeInitialization(Object bean, String name) {
return bean;
}
}class CustomBeanPostProcessor : BeanPostProcessor {
override fun postProcessAfterInitialization(bean: Any, name: String): Any {
if (bean is UsernamePasswordAuthenticationFilter) {
println("********* Post-processing $name")
bean.setAuthenticationDetailsSource(
AuthenticationDetailsSource<HttpServletRequest, Any?> { context -> context.getHeader("CUSTOM_HEADER") })
}
return bean
}
override fun postProcessBeforeInitialization(bean: Any, name: String?): Any {
return bean
}
}然后，您将在应用程序上下文中注册此 bean。Spring 在应用程序上下文中定义的 bean 上自动调用它。