如何使用 Spring Security 和 Angularjs 保护 Spring Rest 服务？

Question

我有一个带有 Rest-Services 和 AngularJS WebFrontend 的 Spring MVC 服务器后端。

我想保护我的 spring mvc 休息服务，但我想使用 java config.. 我不知道配置应该是什么样子。有人可以帮我弄这个吗 ？ 我发现的唯一好的实现是：https://github.com/philipsorst/angular-rest-springsecurity

我使用 postgrsDB，我想在那里存储用户名和密码以及角色，https://github.com/philipsorst/angular-rest-springsecurity 示例中的会话令牌是否仅存储在缓存中而不是数据库中？

目前我有一个简单的表单登录安全性，这仅用于测试，但我没有使用 jsp 我只使用 spring mvc 休息服务和 angularjs 作为 webfrontend.. 我如何修改我的 spring 安全代码它像 https://github.com/philipsorst/angular-rest-springsecurity 的示例中那样与 oauth2 一起使用？我目前只有这两个来自 spring security 的课程..

@Configuration
@EnableWebMvcSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {

        auth
        .inMemoryAuthentication()
        .withUser("username").password("test").roles("User");
    }
}

然后我在我的 WebInitializer 中注册 securityConfig。

public class WebInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {

@Override
protected Class<?>[] getRootConfigClasses() {
    return new Class<?>[]{ PersistenceContext.class,AppConfig.class,SecurityConfig.class }; 
} ....

但是角色和用户名/密码应该存储在数据库中。我必须使用特殊的数据库模式来实现 spring 安全性来在我的数据库中存储用户名、密码和角色吗？

我可以实现它，以便我只能在其中一个角色的其余服务上添加@Secured Annotation（或任何其他注释）吗？喜欢@Secured("UserRole")

还是更简单的基本认证？我可以通过角色管理的基本身份验证来保护我的休息服务！？如果是这样，我们可以使用基本身份验证.. 最好的问候

Answer 1

为了加载用户，您必须创建一个身份验证管理器并将 UserDetailsS​​ervice 连接到该身份验证管理器。以下文档链接很好地概述了身份验证管理器以及相关的核心组件。

http://docs.spring.io/spring-security/site/docs/3.2.x/reference/htmlsingle/#core-services

所以，回答你的第一个问题……

但是角色和用户名/密码应该存储在数据库中.. 我必须使用特殊的 用于 Spring Security 的数据库模式，用于在我的数据库中存储用户名、密码和角色？

你可以做任何一个。如果您愿意，spring security 可以为您处理所有数据库端，您只需提供对具有 Spring 架构设计的 JDBC 数据源的引用。

http://docs.spring.io/spring-security/site/docs/3.2.x/reference/htmlsingle/#core-services-jdbc-user-service

和

http://docs.spring.io/spring-security/site/docs/3.2.x/reference/htmlsingle/#appendix-schema

-或-

您可以通过提供您自己的 UserDetailsS​​ervice 实现来利用您自己的架构，该实现将从您自己的数据库架构中加载。这里有一些示例可以帮助您开始使用这种方法。

<context:component-scan base-package="com.example.security" />
<security:global-method-security secured-annotations="enabled" pre-post-annotations="enabled"/>

<bean id="dao-provider" class="org.springframework.security.authentication.dao.DaoAuthenticationProvider"
      p:userDetailsService-ref="myUserDetailsService"
      p:passwordEncoder-ref="sha-pw-encoder"
      p:saltSource-ref="my-salt-source" />

<bean id="sha-pw-encoder" class="org.springframework.security.authentication.encoding.ShaPasswordEncoder"
      p:encodeHashAsBase64="true" />

<bean id="my-salt-source" class="org.springframework.security.authentication.dao.ReflectionSaltSource"
      p:userPropertyToUse="salt" />

<security:authentication-manager>
    <security:authentication-provider ref="dao-provider"/>
</security:authentication-manager>

最后，像这样提供 UserDetailsS​​ervice 的实现：

@Component("myUserDetailsService")
public class MyUserDetailsServiceImpl implements UserDetailsService {

//Reference to the spring JPA repository for loading users
private final UserRepository userRepository;

@Autowired
public MyUserDetailsServiceImpl(UserRepository userRepository) {
    this.userRepository = userRepository;
}

@Override
@Transactional
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException         {
    User user = userRepository.findByName(username);
    if (user != null) {
        return new UserDetails() {
          ... //create the user details from the user object
        }
    } else {
        String err = String.format("Failed to find username: %s in local database.  Trying other auth mechanisms.", username);
        throw new UsernameNotFoundException(err);
    }
  }
}

...关于你的第二个问题：

我可以实现它，以便我只能添加@Secured Annotation（或任何其他 注释）在我的其余服务中扮演角色之一吗？喜欢@Secured("UserRole")

是的，以上配置将允许您通过配置 global-method-security 来使用@Secured 注解。

最后，是的，所有这些默认情况下仍将使用基本身份验证，但如有必要，可以重新配置为使用摘要身份验证。我建议完整阅读http://docs.spring.io/spring-security/site/docs/3.2.x/reference/htmlsingle/ 的文档，以便真正掌握您想要做什么。但是，这应该会让你上路。