在 Spring Boot 中使用多个 WebSecurityConfigurerAdapter

Question

我有 2 个类扩展 WebSecurityConfigurerAdapter。并且不能让它们一起工作。

思路如下：

1. 有一个WebSecurityConfigurerAdapter，它只会将自定义过滤器添加到安全链中。过滤器执行一些自定义身份验证并将Authentication 保存到SecurityContext 中。这通常工作正常。配置如下（省略导入）：

 @Order(1)
 @Configuration
 @EnableWebMvcSecurity
 public class BestSecurityConfig extends WebSecurityConfigurerAdapter {

     @Autowired
     private BestPreAuthenticationFilter ssoAuthenticationFilter;

     @Bean
     protected FilterRegistrationBean getSSOAuthenticationFilter() {
         FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean(ssoAuthenticationFilter);

         // Avoid include to the default chain
         filterRegistrationBean.setEnabled(false);

         return filterRegistrationBean;
     }

     @Override
     protected void configure(HttpSecurity http) throws Exception {
         http
            .addFilterAfter(ssoAuthenticationFilter, SecurityContextPersistenceFilter.class);

     }

     @Configuration
     protected static class AuthenticationConfiguration extends
             GlobalAuthenticationConfigurerAdapter {

         @Autowired
         private BestAuthenticationProvider authenticationProvider;

         @Override
         public void configure(AuthenticationManagerBuilder auth) throws Exception {
             auth.authenticationProvider(authenticationProvider);
         }
     }
 }

1. 我希望上面的库类是任何人都可以通过@ComponentScan 包含的库类，并对自定义身份验证进行排序。显然，他们希望提供自定义 HttpSecurity 来保护 edpoints。尝试类似：

 @Configuration
 @EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
 @Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
 public class SecurityConfig extends WebSecurityConfigurerAdapter {

     @Override
     protected void configure(HttpSecurity http) throws Exception {
         http
             .csrf().disable()
             .authorizeRequests()
             .antMatchers("/testUrl").hasRole("NON_EXISTING")
             .anyRequest().authenticated();
     }
 }

由于我的用户不是角色NON_EXISTING 的成员，因此测试 URL 显然不可访问。不幸的是，她是。

如果我将安全 authorizeRequests() 部分移动到配置类表单 1。在添加安全过滤器旁边，它会按预期阻止访问。但在我的情况下，第二个配置似乎被忽略了。

我还调试了configure() 方法并注意到HttpSecurity 不是同一个对象，它有点味道。

任何提示我如何使这项工作非常受欢迎。

目标总结：

• 有一个WebSecurityConfigurerAdapter，它添加了过滤器并且对库的用户隐藏
• 让用户定义自己的自定义端点安全

Spring boot 1.1.6-RELEASE

Answer 1

定义一个特殊的接口

public interface ServiceWebSecurityConfigurer {
    void configure(HttpSecurity http) throws Exception;
}

那么就只有一个ConfigurerAdapter：

public class MyConfigurerAdapter extends WebSecurityConfigurerAdapter {

    @Autowired(required = false)
    ServiceWebSecurityConfigurer serviceSecConfig;

    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests(). // whatever

        if (serviceSecConfig != null) serviceSecConfig.configure(http);

        http.authorizeRequests(). // whatever
    }
}

然后在需要时在其他地方实现 ServiceWebSecurityConfigurer。也可以有多种实现，只需将它们自动装配为列表并迭代并在主配置中使用它们。

Answer 2

所以我刚刚找到的一个选项是：

1. 从第一个 bean 中删除 @Configuration 注释

并将 2. 更改为：

 @Configuration
 @EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
 @Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
 public class SecurityConfig extends BestSecurityConfig { //Note the changed extend !

     @Override
     protected void configure(HttpSecurity http) throws Exception {

         super.configure(http); // Merge of the 2 HTTP configurations

         http
             .csrf().disable()
             .authorizeRequests()
             .antMatchers("/testUrl").hasRole("NON_EXISTING")
             .anyRequest().authenticated();
     }
 }

非常感谢任何关于这种方法是对还是错的方法

编辑：几年后我仍然没有找到其他方式，但我越来越喜欢这种方式。即使在默认情况下，您扩展抽象 WebSecurityConfigurerAdapter 也没有理由为什么其他抽象层不能提供另一个提供有意义的默认值的抽象扩展。

Answer 3

我（在我看来）创建了一种更简洁的方式来构建一些默认配置，并使用 Custom DSLs 简化了新项目的集成。

我正在使用它来配置 JWT 身份验证过滤器，但我认为 CORS 过滤器更简单且具有指导意义：

public class CustomCorsFilterDsl extends AbstractHttpConfigurer<CustomCorsFilterDsl, HttpSecurity> {

    @Override
    public void init(HttpSecurity http) throws Exception {
        //your init code here, no needed in this case
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        CorsFilter corsFilter = corsFilter(corsProperties);
        http.addFilterBefore(corsFilter, UsernamePasswordAuthenticationFilter.class);
    }

    private CorsFilter corsFilter(CorsProperties corsProperties) {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true);
        config.addAllowedOrigin("http://localhost:9000");
        config.addAllowedHeader("*");
        config.addAllowedMethod("GET, POST, PUT, PATCH, DELETE");
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }

    public static CustomCorsFilterDsl dsl() {
        return new CustomCorsFilterDsl();
    }
}

在您的 WebSecurityConfig 中，您可以像这样使用它：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf().disable()
                .exceptionHandling()
                .and()
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .authorizeRequests()
                .antMatchers("/foo/**").permitAll()
                //... your configurations
                .antMatchers("/**").authenticated()
                .and()
                .apply(CustomCorsFilterDsl.dsl());
    }
}

并且您以更清晰的方式实现了使库具有独立于项目代码的默认配置的目标，因为您可以在项目的 WebSecurityConfig 中可视化自定义 CORS 条目。