Basic Auth & IP 白名单的优先级

Question

我正在为 Spring Boot 应用程序中的几个内部端点设置基本身份验证。在进行基本身份验证检查之前，我有一个用例来进行 IP 白名单验证。使用 WebSecurityConfigurerAdapter 配置方法，我能够实现这一点，但是在 ip 白名单授权之前完成基本身份验证的顺序是相反的。

有没有办法让 IP 白名单优先于基本身份验证？

使用以下代码进行网络安全

return new WebSecurityConfigurerAdapter() {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf()
                .disable()
            .authorizeRequests()
            .anyRequest()
            .access("(hasIpAddress('xx.xx.xx.xx') and isAuthenticated()")
            .and()
            .httpBasic();
    }
}

Answer 1

您必须在配置中按照您想要的顺序声明。

@Component
public class IPWhiteLister implements AuthenticationProvider {
     
   Set<String> whitelist = new HashSet<String>();
 
    public CustomIpAuthenticationProvider() {
        whitelist.add("10.1.1.1");
        whitelist.add("172.1.1.1");
    }
 
    @Override
    public Authentication authenticate(Authentication auth) throws AuthenticationException {
        WebAuthenticationDetails details = (WebAuthenticationDetails) auth.getDetails();
        String userIp = details.getRemoteAddress();
        if(! whitelist.contains(userIp)){
            throw new BadCredentialsException("Invalid IP Address");
        }
        return auth;
}

并按照https://www.baeldung.com/spring-security-multiple-auth-providers 中的步骤使用多个身份验证提供程序。您还必须覆盖另一个配置方法来构建 AuthenticationManagerBuilder。 您可以通过方法 authenticationProvider 添加多个 Authentication Provider。这有点欺骗性，因为签名并没有说它允许您添加多个身份验证提供程序。

    public class ApplicationSecurity extends WebSecurityConfigurerAdapter
    {

      Logger logger = LoggerFactory.getLogger(ApplicationSecurity.class);

      @Autowired
      private IPWhiteListFilter ipWhiteListFilter;
      @Override
      protected void configure(AuthenticationManagerBuilder auth){
        auth.authenticationProvider(ipWhiteListFilter);
        // FOLLOWING is just an example
        auth.authenticationProvider(userNamePasswordAuthenticator)
      }
   ...

而不是以下代码中的行

.access("(hasIpAddress('xx.xx.xx.xx') and isAuthenticated()")

随便用

.authenticated()