我正在使用Spring Security Oauth1.0a对请求进行身份验证。预期一旦用户通过身份验证，他/她将获得在网站中进行浏览的特权。经过身份验证的用户的第一个登录页面包括一些js和img。奇怪的是，在加载这些小片段期间，使用正确的身份验证成功加载了一些文件。但是在一毫秒后，由于空身份验证，其他小片段将无法加载。请注意，我已打开servlet上下文/会话/属性侦听器。未检测到任何变化。
10/24'16 13:44:23> DEBUG [org.springframework.security.web.context.HttpSessionSecurityContextRepository] SecurityContext 'org.springframework.security.core.context.SecurityContextImpl@3f8eaa51: Authentication: org.springframework.security.authentication.UsernamePasswordAuthenticationToken@3f8eaa51: Principal: com.my.connected.spring.User@148c0257; Credentials: [PROTECTED]; Authenticated: true; Details: null; Granted Authorities: TEACHER' stored to HttpSession: 'org.apache.catalina.session.StandardSessionFacade@f3abb79 (CLIENT_IP=|USER_ID=|INV_ID=) (http-nio-443-exec-11) [1256269]
到目前为止，安全上下文已按预期在会话中填充。此后，我自定义的上下文/会话/属性级别的侦听器未检测到任何更改。下面列出了所有调试级别的日志。
10/24'16 13:44:23> DEBUG [org.springframework.security.web.access.ExceptionTranslationFilter] Chain processed normally (CLIENT_IP=|USER_ID=|INV_ID=) (http-nio-443-exec-11) [1256269]
10/24'16 13:44:23> DEBUG [org.springframework.security.web.context.SecurityContextPersistenceFilter] SecurityContextHolder now cleared, as request processing completed (CLIENT_IP=|USER_ID=|INV_ID=) (http-nio-443-exec-11) [1256269]
10/24'16 13:44:23> DEBUG [org.springframework.security.web.FilterChainProxy] /home.png at position 1 of 15 in additional filter chain; firing Filter: 'MetadataGeneratorFilter' (CLIENT_IP=|USER_ID=|INV_ID=) (http-nio-443-exec-4) [1256274]
10/24'16 13:44:23> DEBUG [org.springframework.security.web.FilterChainProxy] /home.png at position 2 of 15 in additional filter chain; firing Filter: 'WebAsyncManagerIntegrationFilter' (CLIENT_IP=|USER_ID=|INV_ID=) (http-nio-443-exec-4) [1256274]
10/24'16 13:44:23> DEBUG [org.springframework.security.web.FilterChainProxy] /home.png at position 3 of 15 in additional filter chain; firing Filter: 'SecurityContextPersistenceFilter' (CLIENT_IP=|USER_ID=|INV_ID=) (http-nio-443-exec-4) [1256274]
10/24'16 13:46:37> DEBUG [org.springframework.security.web.context.HttpSessionSecurityContextRepository] Obtained a valid SecurityContext from SPRING_SECURITY_CONTEXT: 'org.springframework.security.core.context.SecurityContextImpl@ffffffff: Null authentication' (CLIENT_IP=|USER_ID=|INV_ID=) (http-nio-443-exec-4) [1391041]
但是，调试和日志均显示会话属性SPRING_SECURITY_CONTEXT的新的空身份验证。上下文本身不为null。
更多编码细节：
//the controller method
@RequestMapping(value = {"/ssoep.lti.do"}, method = {RequestMethod.GET, RequestMethod.POST})
public void ltiEndpoint(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException, SSOValidationException{
request.getRequestDispatcher("/").forward(request, response);
}
//the configuration class
@EnableWebSecurity
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
protected void configureOAuth(HttpSecurity http) throws Exception {
http
.csrf()
.disable();
http
.addFilterAfter(oauthFilter(), BasicAuthenticationFilter.class)
.authorizeRequests()
.antMatchers("/ssoep.lti.do*").authenticated();
}
@Bean
public ProtectedResourceProcessingFilter oauthFilter() {
ProtectedResourceProcessingFilter result = new MheOauthProcessingFilter();
result.setAuthHandler(mheUserOauthAuthenticationHandler);
result.setConsumerDetailsService(mheOauthConsumerDetailsService);
return result;
}
}
我正在使用以下pom版本。
<spring.version>4.3.2.RELEASE</spring.version>
<spring.boot.version>1.4.0.RELEASE</spring.boot.version>
<spring.security.version>4.1.1.RELEASE</spring.security.version>
<spring.security.oauth.version>2.0.11.RELEASE</spring.security.oauth.version>
<spring.security.saml2>1.0.2.RELEASE</spring.security.saml2>
参考方案
可能是您可能没有添加spring安全过滤器链来拦截所有请求
import org.springframework.security.web.context.*;
public class SecurityWebApplicationInitializer
extends AbstractSecurityWebApplicationInitializer {
public SecurityWebApplicationInitializer() {
super(SecurityConfig.class);
}
}
http://docs.spring.io/spring-security/site/docs/current/reference/html/jc.html#abstractsecuritywebapplicationinitializer-without-existing-spring
Spring Security @Secured批注和用户权限 - java这是关于Spring v.4（MVC +安全性）的。我已经实现了UserDetailsServiceImpl，其中在loadUserByUsername方法内部向用户授予了其权限。说的很简单：public UserDetails loadUserByUsername(String username) { ... Collection<GrantedAu…
春季安全值得付出努力 - java我一直在关注春季安全性，并注意到它是多么大的包装。我想知道是否值得花一些时间来加强这一点。Spring Security 2.0+为您节省了大量时间，还是以任何方式简化了您的项目？ java参考方案 几年前，我考虑将其用于Spring项目，并选择了它，因为它是一个非常繁琐的框架，恕我直言，它提供的灵活性不是必需的。 （据我估计）减少我们自己的身份验证/授权的…
Spring Security更改登录用户的角色不会立即生效 - java我正在使用Spring Security 3.2。在更改其角色后，我可以动态地重新加载当前用户的授权：UserDetailsImpl userDetails = new UserDetailsImpl(dao.getEntity(User.class,currentUserService.getUserDetails().getUsername())); A…
使用身份验证的REST服务的Web应用程序的登录实现 - java也许我的问题标题不清楚，我尝试解释一下：我使用Spring MVC + Spring Security实现了经过身份验证的REST服务。我配置了摘要身份验证，因此我需要在对服务的每个请求中包括凭据。现在，我需要为该服务实现一个Web客户端。在经典的Web应用程序中，我可以实现配置FORM auhtentication的简单登录表单，但是在这种情况下，我不知道…
Spring MVC中的输入验证 - java我知道Commons Validator框架是Struts项目在服务器端和客户端验证输入值的事实上的标准。Spring MVC项目是否也是如此？我得到的印象可能不是，大多数Struts书籍和论坛都谈论Commons Validator框架，但是只有少数Spring书籍和论坛可以。在Spring MVC项目中验证输入的最佳实践是什么？干杯! 参考方案 在引入S…