java-Spring Security 3.1并返回匿名UserDetails

2019-12-01 21:29:25 阅读：268 来源： 互联网

标签：spring-security spring java spring-mvc anonymous-users

我试图找出如何让Spring Security为该调用返回匿名用户的UserDetails对象：

SecurityContextHolder.getContext().getAuthentication().getPrincipal()

我知道没有特殊配置,该调用将返回一个字符串,而不是您使用自定义UserDetailsService实现创建的UserDetails对象,但是我宁愿不时在各处检查“ if(principal instanceof String)”.有没有办法用Spring配置来做到这一点-一种将匿名UserDetails对象存储在用户的会话上下文中直到他们登录的方法？从表面上看,我想为每个访客提供一个唯一的匿名UserDetails,以便我可以跟踪它的个人使用情况.

我还注意到,使用“ PreAuthorize”注释保护的方法似乎不支持匿名用户进行hasRole检查.我确定这是我做错任何事情的症状.这是一个例子：

@RequestMapping(value = "/almanac/new", method = RequestMethod.GET)
@PreAuthorize("hasRole('ROLE_ADMIN')")
public String newSetup(ModelMap model) {

这是我的spring安全上下文(除了封闭的bean节点之外,其余都是完整的).您可以注意到,我尝试启用“匿名”

<debug />
<http pattern="/js/**"  security="none" />
<http pattern="/css/**"  security="none" />
<http pattern="/images/**"  security="none" />
<http pattern="/loggedout.jsp" security="none"/>
<http name="httpSiteMap" use-expressions="true">
    <custom-filter ref="almanacUsrPwdAuthProcFilter" before="FORM_LOGIN_FILTER"/>
    <intercept-url pattern="/login*" access="isAnonymous()" />
    <intercept-url pattern="/home/**" access="hasRole('ROLE_USER')" />
    <intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />
    <intercept-url pattern="/**" access="isAnonymous()" />
    <form-login  login-page="/login.jsp"
                 default-target-url="/home.htm"
                 always-use-default-target="false" />
    <logout logout-success-url="/loggedout.jsp" delete-cookies="JSESSIONID"/>
    <session-management invalid-session-url="/timeout.jsp">
        <concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
    </session-management>
    <anonymous enabled="true" />
</http>

<global-method-security pre-post-annotations="enabled" secured-annotations="enabled" />

<authentication-manager alias="mainAuthMgr">
    <authentication-provider ref="almanacAuthenticationProvider"/>
</authentication-manager>

基于您在此处看到的代码的任何其他建议都将受到欢迎.

解决方法:

对于要从匿名用户的UserDetails中提取哪些数据,您实际上并没有提供太多详细信息.如果只想检查用户名,则可以使用Authentication.getName().

无论如何,如果您需要更详细的访问安全性上下文,最好使用自定义接口将应用程序代码与Spring Security类分离(请参见my answer on using a security context accessor).这样,您应该只在一个地方检查主体的类型,而不是在要访问用户数据的“各处”重复检查.

如果您绝对希望身份验证对象中始终具有相同的主体类型,而不管用户是否匿名,那么您将必须通过命名空间禁用匿名身份验证,并基于现有的AnonymousAuthenticationFilter添加自定义过滤器来执行此工作.

标签：spring-security,spring,java,spring-mvc,anonymous-users
来源： https://codeday.me/bug/20191201/2083564.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

java-Spring Security 3.1并返回匿名UserDetails