DaoAuthenticationProviderでHttpServletRequestにアクセスすると、Springセキュリティで認証されます

Question

春のセキュリティでDaoAuthenticationProvider内からHttpServletRequestオブジェクトにアクセスする必要があります。

セキュリティコンポーネントはDaoAuthenticationProviderを拡張し、authenticateメソッドをオーバーライドしてカスタム認証/検証を実行します。リクエストURLに含まれるユーザーのIPアドレスをクエリ文字列パラメータ（例：http://domain.com/context?ip=192.168.0.1）として検証するには、追加のチェックが必要です。

私が試みている現在のアプローチは、RequestContextHolderスレッドローカルを使用し、私のカスタムでhttpリクエストを取得することですDAOAuthenticationProvider。私はここに、春のフォーラムで読ん

他のいくつかのソリューションはAuthenticationDetailsSource、custom-filterの使用とIが原因のセキュリティを春に新しいことに理解していない他のステップを注入することをお勧めているようです。

認証を実行するために同じセキュリティコンポーネントを使用するさまざまなWebアプリケーションがあります。

誰かが正しい方向で私を指摘したり、以前に実装された方法を教えてもらえますか？

Answer 1

web.xmlにSpringのRequestContextFilterを追加できます。このようにして、属性はすべての要求に対して現在のスレッドに保存されます。あなたはRequestContextHolderを使用することができます

ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.currentRequestAttributes(); 
HttpServletRequest request = attributes.getRequest(); 

Answer 2

と春のセキュリティは、通常、着信要求をラップしますけれども、それは効果的に、同​​じ要求が含まれているので、あなたが置くかどうかに応じて異なる基準を取得することがあります。その後、元のHtttpServletRequestを得ることができますRequestContextFilterをSpring Securityチェーンの前または後に追加します（RequestContextHolderから返された値をアプリケーションコントローラ内の要求と比較することで、これを簡単に確認できます）。

あなたが言及したように、カスタムAuthenticationDetailsを注入することも比較的容易である：

package com.mycompany; 

public class MyWebAuthenticationDetailsSource implements AuthenticationDetailsSource { 
    public Object buildDetails(Object context) { 
     return ((HttpServletRequest)context).getParameter("ip"); 
    } 
} 

その後

<bean id="ads" class="com.mycompany.MyWebAuthenticationDetailsSource /> 

<bean id="formLoginFilter" class="org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter"> 
    <property name="authenticationDetailsSource" ref="ads" /> 
    <property name="authenticationManager" ref="authenticationmanager" /> 
</bean> 

を使用して、リファレンスマニュアルに記載されたカスタムフィルタとしてこれを追加します。 3.1では、ネームスペースsupports this directly in the form-login element。 Authentication.getDetails()は "ip"パラメータの値を返します。

既知のセキュリティ上の脆弱性があるため、おそらく3.0.4は使用しないでください。

また、「ip」パラメータの設定方法についても説明できますか？