春のセキュリティ - コントローラからの値を読み取る

Question

私はウェブをかなり研究しましたが、私の問題に解決策はまだありません。私の場合に合わないものを使っているすべての人。私のscenerio：

ユーザーはpost（email： "admin"、password： "admin"）を送信します。入力が正しいかどうかをチェックし、そのトークンがヘッダ/

私はコントローラからSpring認証プロセスへの値を渡す部分についています。以下は

私の設定です：ここ

@Configuration 
@EnableWebSecurity 
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true) 
public class WebSecurityConfig extends WebSecurityConfigurerAdapter { 


    @Autowired 
    private TokenAuthenticationProvider tokenAuthenticationProvider; 


    @Autowired 
    @Override 
    protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
     auth.authenticationProvider(this.tokenAuthenticationProvider); 
    } 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
       .authorizeRequests() 
       .antMatchers("/login").permitAll() 
       .anyRequest().authenticated().and() 
       .csrf().disable(); 
    } 
} 

は私のコントローラです：

@RestController 
public class LoginController { 

    @Autowired 
    private AuthenticationManager authenticationManager; 

    @RequestMapping(value = "/login", method = RequestMethod.POST) 
    public ResponseEntity<?> login(@RequestBody LoginCredentials payload){ 

     Authentication authentication = this.authenticationManager.authenticate(
       new UsernamePasswordAuthenticationToken(
         payload.getUsername(), 
         payload.getPassword() 
       ) 
     ); 

     SecurityContextHolder.getContext().setAuthentication(authentication); 
     return ResponseEntity.ok("OK"); 
    } 
} 

、これは

@Component 
public class TokenAuthenticationProvider implements AuthenticationProvider { 


    @Override 
    public Authentication authenticate(Authentication authentication) throws AuthenticationException { 

     if(authentication.getName().equals("admin") && authentication.getCredentials().equals("admin")) { 
      List<GrantedAuthority> grantedAuths = new ArrayList<>(); 
      grantedAuths.add(new SimpleGrantedAuthority("ROLE_USER")); 
      grantedAuths.add(new SimpleGrantedAuthority("ROLE_ADMIN")); 
      return new UsernamePasswordAuthenticationToken(authentication.getName(), authentication.getCredentials(), grantedAuths); 
     } else { 
      return null; 
     } 
    } 

    @Override 
    public boolean supports(Class<? extends Object> authentication) { 
     return (UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication)); 
    } 
} 

Imが資格情報を使用してPOSTリクエストを行うと、これは私の認証プロバイダであります答えイム取得：

{ 
    "timestamp": 1486995388844, 
    "status": 403, 
    "error": "Forbidden", 
    "exception": "org.springframework.security.authentication.ProviderNotFoundException", 
    "message": "Access Denied", 
    "path": "/login" 
} 

Answer 1

ログインに対処するために新しいコントローラを作成することを選択したのは興味深いですが、基本的にはSpring Securityが行う作業を複製しています。あなたは認証プロバイダを呼び出すことで認証されるユーザの資格情報をチェックするカスタムコントローラ（特定のエンドポイント）にHTTP POSTリクエストを送信します。これはすでにSpring Securityモジュール（特定のエンドポイントに対してPOSTを実行する必要があり、セキュリティコンテナによって定義された認証プロバイダが呼び出され、ユーザにアクセスを許可するかどうかを決定します）。

私はあなたがそのコントローラを必要としないと信じています：セキュリティコンテナにいくつかの余分な設定が必要なので、始めましょう！

ところで、Springの設定が主にJavaで書かれていても、Spring Securityの設定はまだ完全なJavaをサポートしておらず、依然としてほとんどの場合XMLである必要があります。

特定のエンドポイントがヒットしたとき（そのHTTP POST要求で）、認証プロセスを初期化するようにSpring Securityを設定できます。次のようにXMLでは、これが行われます：

<http> 
    <form-login login-processing-url="/perform_login"/> 

    ...(other configuration) 
</http> 

私はdocumentationでそれを見つけることを試みているが、私は同等のJavaの設定を見つけることができません。私たちは、このようなHttpSecurityオブジェクトにformLogin()メソッドを呼び出すことができます。

protected void configure(HttpSecurity http) throws Exception { 
    http 
    .authorizeRequests() 
     .anyRequest().authenticated() 
     .and() 
    .formLogin() 
     .loginPage("/login") 
     .permitAll(); 
} 

が、ログイン処理のURLを設定するには、何のJavaメソッドはなさそうです。 loginPage()メソッドは、ログインが必要な場合にユーザーを送信するためのURLを指定します（これは私たちが探しているものではありません）。

ログイン処理URLを設定しないと、セキュリティコンテナはデフォルトのものである/j_spring_security_checkを使用します。

これで、認証資格を/perform_loginにポストすることができ、Springセキュリティは認証フィルタに対してそれらを使用してアクセスを許可するかどうかを決定します。

完了ですか？未だに。 デフォルトのusernameとpasswordのパラメータは、j_usernameとj_passwordと呼ばれます。したがって、これらのパラメータを/perform_loginにPOSTする必要があります。幸いなことに、これらの2つの名前を設定することができます（XMLで再び - 申し訳ありません）：

<http> 
    <form-login login-processing-url="/perform_login"/> 
       username-parameter="email" 
       password-parameter="password" 

    ...(other configuration) 
</http> 

今設定されています。 （あなたはCSRFトークンをしたい場合またはそれ以上）の二つのパラメータでHTTP POSTを発行して - すなわちメールとパスワードを/に perform_login、我々は適切に認証することができます（と私たちはと呼ばれるさらに別のクラスを作成する必要はありませんでしたLoginCredentialsのようにしてください