我正在尝试为具有 spring 安全性的 HTTP api 启用基于令牌的身份验证。
环顾四周，我看到了有关实现过滤器和处理程序的答案，例如
Spring Security authentication via token
Spring Security 3.2 Token Authentication
有一个非常有趣的 KeyBasedPersistenceTokenService 类。
Spring Security 中是否没有过滤器或构建身份验证机制所需的其他元素？
【问题讨论】：
标签： java spring authentication spring-security
Spring Security 中的Token 接口非常抽象——您需要提供自己的实现来携带实际的身份验证信息，以及用于向经过身份验证的用户或客户端发出令牌的端点，以及您提到的过滤器在受保护的资源上处理令牌（您发布的链接之一建议使用AbstractPreAuthenticatedProcessingFilter，这是正确的）。没有真正的万能解决方案。
使用 OAuth2 可能会更好，因为它是一个标准并且在 Spring OAuth 中单独支持。至少您可以通过这种方式获得所有这些功能。
另一个有趣的令牌实现是 Github 的“安全 http”——它们给你一个令牌，你可以在 HTTP 基本身份验证中使用它作为密码（广泛支持的客户端，也可以在 Spring Security 中开箱即用）。如果你在 Spring Security 中实现它，你只需要插入一个 UserDetailsService（并将其连接到一些令牌发布 UI）。
【讨论】：