Jak uzyskać aktywny UserDetails

Preambuła: od Spring-Security 3.2 jest ładna adnotacja @AuthenticationPrincipal opisana na końcu tej odpowiedzi. Jest to najlepszy sposób, gdy używasz Spring-Security > = 3.2.

Kiedy:

• użyj starszej wersji Spring-Security,
• trzeba załadować obiekt użytkownika z bazy danych za pomocą niektórych informacji (takich jak login lub id) przechowywanych w głównym lub
• chcesz dowiedzieć się, jak HandlerMethodArgumentResolver lub WebArgumentResolver może rozwiązać ten problem w elegancki sposób, lub po prostu chcę poznać tło za @AuthenticationPrincipal i AuthenticationPrincipalArgumentResolver (ponieważ opiera się na HandlerMethodArgumentResolver)

To czytaj dalej-w przeciwnym razie użyj @AuthenticationPrincipal i podziękuj Robowi Winchowi (Autor @AuthenticationPrincipal) i Lukasowi Schmelzeisenowi (za jego odpowiedź).

(BTW: moja odpowiedź jest nieco starsza (styczeń 2012), więc to Lukas Schmelzeisen pojawił się jako pierwszy z bazą @AuthenticationPrincipal adnotation solution na Spring Security 3.2.)

Wtedy możesz użyj w kontrolerze

public ModelAndView someRequestHandler(Principal principal) {
   User activeUser = (User) ((Authentication) principal).getPrincipal();
   ...
}

To jest w porządku, jeśli potrzebujesz go raz. Ale jeśli potrzebujesz go kilka razy jego brzydki, ponieważ zanieczyszcza kontroler ze szczegółami infrastruktury, które normalnie powinny być ukryte przez framework.

public ModelAndView someRequestHandler(@ActiveUser User activeUser) {
   ...
}

Dlatego wystarczy zaimplementować WebArgumentResolver. Posiada metodę

Object resolveArgument(MethodParameter methodParameter,
                   NativeWebRequest webRequest)
                   throws Exception

, który pobiera web request (drugi parametr) i musi zwrócić User jeśli its czuje się odpowiedzialny za argument metody (pierwszy parametr).

od wiosny 3.1 pojawiła się nowa koncepcja o nazwie HandlerMethodArgumentResolver. Jeśli używasz Springa 3.1+, powinieneś go użyć. (Opisane jest ono w następnym rozdziale niniejszej odpowiedzi))

public class CurrentUserWebArgumentResolver implements WebArgumentResolver{

   Object resolveArgument(MethodParameter methodParameter, NativeWebRequest webRequest) {
        if(methodParameter is for type User && methodParameter is annotated with @ActiveUser) {
           Principal principal = webRequest.getUserPrincipal();
           return (User) ((Authentication) principal).getPrincipal();
        } else {
           return WebArgumentResolver.UNRESOLVED;
        }
   }
}

Musisz zdefiniować niestandardową adnotację -- możesz ją pominąć, jeśli każda instancja użytkownika powinna być zawsze wzięta z kontekstu bezpieczeństwa, ale nigdy nie jest obiektem polecenia.

@Target(ElementType.PARAMETER)
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface ActiveUser {}

W konfiguracja wystarczy tylko dodać:

<bean class="org.springframework.web.servlet.mvc.annotation.AnnotationMethodHandlerAdapter"
    id="applicationConversionService">
    <property name="customArgumentResolver">
        <bean class="CurrentUserWebArgumentResolver"/>
    </property>
</bean>

@Zobacz: Naucz się dostosowywać argumenty metody Spring MVC @ Controller

należy zauważyć, że jeśli używasz Spring 3.1, polecają HandlerMethodArgumentResolver nad WebArgumentResolver. - zobacz komentarz by Jay

To samo z HandlerMethodArgumentResolver na wiosnę 3.1+

public class CurrentUserHandlerMethodArgumentResolver
                               implements HandlerMethodArgumentResolver {

     @Override
     public boolean supportsParameter(MethodParameter methodParameter) {
          return
              methodParameter.getParameterAnnotation(ActiveUser.class) != null
              && methodParameter.getParameterType().equals(User.class);
     }

     @Override
     public Object resolveArgument(MethodParameter methodParameter,
                         ModelAndViewContainer mavContainer,
                         NativeWebRequest webRequest,
                         WebDataBinderFactory binderFactory) throws Exception {

          if (this.supportsParameter(methodParameter)) {
              Principal principal = webRequest.getUserPrincipal();
              return (User) ((Authentication) principal).getPrincipal();
          } else {
              return WebArgumentResolver.UNRESOLVED;
          }
     }
}

W konfiguracji, musisz dodać to

<mvc:annotation-driven>
      <mvc:argument-resolvers>
           <bean class="CurrentUserHandlerMethodArgumentResolver"/>         
      </mvc:argument-resolvers>
 </mvc:annotation-driven>

@See 3.1 interfejs HandlerMethodArgumentResolver

Spring-Security 3.2 Solution

Spring Security 3.2 (nie mylić z Spring 3.2) ma własne rozwiązanie wbudowane: @AuthenticationPrincipal (org.springframework.security.web.bind.annotation.AuthenticationPrincipal) . To jest ładnie opisane w odpowiedź Lukasa Schmelzeisena

To tylko pisanie

ModelAndView someRequestHandler(@AuthenticationPrincipal User activeUser) {
    ...
 }

Aby to działało musisz zarejestrować AuthenticationPrincipalArgumentResolver (org.springframework.security.web.bind.support.AuthenticationPrincipalArgumentResolver) : albo poprzez "aktywację" @EnableWebMvcSecurity albo poprzez zarejestrowanie tej fasoli w mvc:argument-resolvers - tak samo jak opisałem to z rozwiązaniem may Spring 3.1 powyżej.

@See Spring Security 3.2 Reference, Rozdział 11.2. @AuthenticationPrincipal

Spring-Security 4.0 Solution

Działa jak rozwiązanie Spring 3.2, ale wiosną 4.0 @AuthenticationPrincipal i AuthenticationPrincipalArgumentResolver zostały "przeniesione" do innego pakietu:

• org.springframework.security.core.annotation.AuthenticationPrincipal
• org.springframework.security.web.method.annotation.AuthenticationPrincipalArgumentResolver

(ale stare klasy w swoich starych paczkach nadal istnieją, więc nie mieszaj ich!)

To tylko pisanie

import org.springframework.security.core.annotation.AuthenticationPrincipal;
ModelAndView someRequestHandler(@AuthenticationPrincipal User activeUser) {
    ...
}

Aby to działało musisz zarejestrować (org.springframework.security.web.method.annotation.) AuthenticationPrincipalArgumentResolver : albo "aktywując" @EnableWebMvcSecurity, albo rejestrując tę fasolę w mvc:argument-resolvers - tak samo jak opisałem to z rozwiązaniem may Spring 3.1 powyżej.

<mvc:annotation-driven>
    <mvc:argument-resolvers>
        <bean class="org.springframework.security.web.method.annotation.AuthenticationPrincipalArgumentResolver" />
    </mvc:argument-resolvers>
</mvc:annotation-driven>

@See Spring Security 5.0 Reference, Chapter 39.3 @AuthenticationPrincipal