Web 服务和用户的 Spring 安全性

Question

我们有一个 web 应用程序，我们想使用 spring security 以两种不同的方式来保护它：

1) 使用登录表单进行身份验证并有权访问某些服务的用户。

2) 使用摘要式身份验证保护的其他服务（用户 + 密码在请求的标头中传递）- 由其他 webapps 使用，因此没有登录表单。

这些都可以单独运行，但我们无法让它们在同一个网络应用程序中运行。 当我们尝试使用两个 xml 运行 webapp 时，我们会收到以下错误：

A universal match pattern ('/**') is defined  before other patterns in the filter chain, causing them to be ignored. Please check the ordering in your <security:http> namespace or FilterChainProxy bean configuration

用户的security.xml：

<security:http use-expressions="true">
    <security:intercept-url pattern="/user/login"
        access="permitAll" />
    ...
    <security:intercept-url pattern="/**"
        access="isAuthenticated()" />

    <security:form-login
        authentication-success-handler-ref="userAuthenticationSuccessHandler" />

    <security:logout logout-url="/user/logout"
        logout-success-url="/demo/user/logoutSuccess" />
</security:http>

<bean id="bCryptPasswordEncoder"
    class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder" />

<security:authentication-manager alias="authenticationManager">
    <security:authentication-provider
        ref="authenticationProvider">
    </security:authentication-provider>
</security:authentication-manager>

用于 Web 服务的 rest-security.xml：

<security:http create-session="stateless"
    entry-point-ref="digestEntryPoint">
    <security:intercept-url pattern="/provider/**"
        access="ROLE_WEBAPP" />

    <security:http-basic />
    <security:custom-filter ref="digestFilter"
        after="BASIC_AUTH_FILTER" />
</security:http>

<bean id="digestFilter"
    class="org.springframework.security.web.authentication.www.DigestAuthenticationFilter">
    <property name="userDetailsService" ref="webappDetailsServiceImpl" />
    <property name="authenticationEntryPoint" ref="digestEntryPoint" />
</bean>

<bean id="digestEntryPoint"
    class="org.springframework.security.web.authentication.www.DigestAuthenticationEntryPoint">
    <property name="realmName" value="Contacts Realm via Digest Authentication" />
    <property name="key" value="acegi" />
</bean>

<security:authentication-manager>
    <security:authentication-provider
        ref="restAuthenticationProvider">
    </security:authentication-provider>
</security:authentication-manager>

有人遇到过这种情况吗？

Answer 1

我在这里找到了解决方案：https://blog.codecentric.de/en/2012/07/spring-security-two-security-realms-in-one-application/

这篇文章详细说明了我想做的事情。

诀窍似乎是将pattern="/provider/**" 添加到其余的http 元素中。所以正确的 rest-security 配置是：

<security:http create-session="stateless"
    entry-point-ref="digestEntryPoint" pattern="/provider/**"
    use-expressions="true">
    <security:intercept-url pattern="/provider/**"
        access="isAuthenticated()" />

    <security:http-basic />
    <security:custom-filter ref="digestFilter"
        after="BASIC_AUTH_FILTER" />
</security:http>

Answer 2

这可能不是您想要的，但我会考虑将这两个 api 分开。一种用于人类，一种用于 Web 服务。

我们的人机界面就在根上下文中：

http(s)://your.website.com/...

然后我们的 Web 服务接口脱离 api 上下文：

http(s)://your.website.com/api/v1/...

这使您可以轻松处理您在 spring 中寻找的两种不同类型的安全性。

Answer 3

错误信息

在过滤器链中在其他模式之前定义通用匹配模式，导致它们被忽略。

非常简洁。

您应该检查 web.xml 中 contextConfigLocation 上下文参数的 bean 定义文件的顺序。

<context-param>  
    <param-name>contextConfigLocation</param-name>  
    <param-value>security.xml,rest-security.xml</param-value>  
</context-param>

应该重现上面的错误信息。

<context-param>  
    <param-name>contextConfigLocation</param-name>  
    <param-value>rest-security.xml,security.xml</param-value>  
</context-param>

应该可以解决问题。