Spring Security HTTP Basic dla RESTFul i FormLogin (Cookies) dla Web-adnotacje

Question

Spring Security HTTP Basic dla RESTFul i FormLogin (Cookies) dla Web-adnotacje

In Specific

Chcę mieć podstawowe uwierzytelnianie HTTP tylko dla określonego wzorca URL.

Szczegółowo

Tworzę interfejs API dla mojej aplikacji, który musi być uwierzytelniony za pomocą prostego HTTP basic authentication. Ale inne strony internetowe powinny nie używać HTTP basic, ale raczej zwykły formularz logowania.

Aktualna konfiguracja-nie działa

@Override
protected void configure(HttpSecurity http) throws Exception {
    http //HTTP Security
            .csrf().disable() //Disable CSRF
            .authorizeRequests() //Authorize Request Configuration
                .antMatchers("/connect/**").permitAll()
                .antMatchers("/", "/register").permitAll()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/api/**").hasRole("API")
                .anyRequest().authenticated()
            .and() //HTTP basic Authentication only for API
                .antMatcher("/api/**").httpBasic()
           .and() //Login Form configuration for all others
                .formLogin().loginPage("/login").permitAll()
            .and() //Logout Form configuration
                .logout().permitAll();

}

34

java spring-mvc spring spring-security spring-boot

Author: Faraj Farook, 2015-01-05

Source

2 answers

Nie wiem, czy to może być pomocne, ale nie mogłem wdrożyć powyższego rozwiązania. Znalazłem obejście definiujące pojedyncze zabezpieczenia

@ Klasa Konfiguracji

Rozszerzenie

WebSecurityConfigurerAdapter

Z konfiguracją httpBasic() i formLogin (). Następnie stworzyłem custom

CustomAuthEntryPoint implementuje AuthenticationEntryPoint

Który ma tę logikę w metodzie begin:

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException
   {
        String urlContext = UtilityClass.extractUrlContext(request);
        if (!urlContext.equals(API_URL_PREFIX))
        {
            String redirectUrl = "urlOfFormLogin"
            response.sendRedirect(request.getContextPath() + redirectUrl);
       }
        else
        {
            response.sendError(HttpServletResponse.SC_UNAUTHORIZED);
        }

Co to jest "strategia najlepszych praktyk" w tej kwestii

0

Author: Andrea L.,
Warning: date(): Invalid date.timezone value 'Europe/Kyiv', we selected the timezone 'UTC' for now. in /var/www/agent_stack/data/www/doraprojects.net/template/agent.layouts/content.php on line 54
2016-11-24 08:41:08

score 49 · Accepted Answer

Czekał 2 dni i nie dostał żadnej pomocy tutaj. Ale moje badania dostarczyły mi rozwiązania:)

Rozwiązanie

@Configuration
@EnableWebMvcSecurity
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true, proxyTargetClass = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter{

    @Autowired
    private AuthenticationProvider authenticationProvider;

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(authenticationProvider);
    }

    @Configuration
    @Order(1)
    public static class ApiWebSecurityConfig extends WebSecurityConfigurerAdapter{
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable()
                    .antMatcher("/api/**")
                    .authorizeRequests()
                        .anyRequest().hasAnyRole("ADMIN", "API")
                        .and()
                    .httpBasic();
        }
    }

    @Configuration
    @Order(2)
    public static class FormWebSecurityConfig extends WebSecurityConfigurerAdapter{

        @Override
        public void configure(WebSecurity web) throws Exception {
            web.ignoring().antMatchers("/css/**", "/js/**", "/img/**", "/lib/**");
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable() //HTTP with Disable CSRF
                    .authorizeRequests() //Authorize Request Configuration
                        .antMatchers("/connect/**").permitAll()
                        .antMatchers("/", "/register").permitAll()
                        .antMatchers("/admin/**").hasRole("ADMIN")
                        .anyRequest().authenticated()
                        .and() //Login Form configuration for all others
                    .formLogin()
                        .loginPage("/login").permitAll()
                        .and() //Logout Form configuration
                    .logout().permitAll();
        }
    }
}