Spring 安全性和自定义 AuthenticationFilter 与 Spring boot

Question

我有自定义身份验证过滤器，它创建 PreAuthenticatedAuthenticationToken 并将其存储在安全上下文中。这一切都很好。这是配置：

@Configuration
@EnableWebMvcSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SsoAuthenticationProvider authenticationProvider;

    @Autowired
    private SsoAuthenticationFilter ssoAuthenticationFilter;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.addFilterAfter(ssoAuthenticationFilter, SecurityContextPersistenceFilter.class);
    }
}

现在我的ssoAuthenticationFilter 是FilterChainProxy 的一部分，在正确的位置。平滑。

但由于 ssoAuthenticationFilter 是 Filter，它会被 Boot 拾取并作为过滤器包含在内。所以我的过滤器链看起来像：

• ssoAuthenticationFilter（包括因为是Filter）
• filterChainProxy（弹簧自动配置）
  • ...
  • SecurityContextPersistenceFilter
  • ssoAuthenticationFilter（包含在http.addFilterAfter(...)中）
  • ...
• 其他一些过滤器

显然，我想在此处摆脱ssoAuthenticationFilter 的自动注册（列出的第一个）。

非常感谢任何提示。

Answer 1

2 个选择：

1. 添加一个 FilterRegistrationBean @Bean 并将您的过滤器 bean 作为其目标过滤器并将其标记为 enabled=false

2. 不要为您的过滤器创建 @Bean 定义（通常我会这样做，但 YMMV 因为您可能依赖自动装配或其他东西来使其工作）