我可以使用Spring安全性的多个安全上下文吗？

Question

我有一个安全上下文定义,它使用PreAuthenticatedProcessingFilterEntryPoint作为我的应用程序的flex部分.如何在我的应用程序的另一部分使用标准表单登录和html表单的另一个定义？这是我现在拥有的:

    <?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
    xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.1.xsd">


    <http auto-config="true" access-denied-page="/admin/access-denied">
        <intercept-url pattern="/admin/login*" filters="none"/>
          <intercept-url pattern="/admin/access-denied" filters="none"/>
        <intercept-url pattern="/admin/**/*" access="ROLE_ADMIN"  />
        <form-login login-page="/admin/login" authentication-failure-url="/admin/login?login_error=1"
           default-target-url="/admin/index" login-processing-url="/admin/login-process"/>
        <logout logout-success-url="/admin/login"/>

    </http>

<global-method-security  jsr250-annotations="enabled" />

    <beans:bean id="preAuthenticatedEntryPoint" class="org.springframework.security.ui.preauth.PreAuthenticatedProcessingFilterEntryPoint" >
    </beans:bean>


    <beans:bean id="userAccountManager" class="com.mycomp.service.managers.jpa.UserAccountJpaManager" />
    <beans:bean id="userService" class="com.mycomp.auth.DefaultUserDetailsService" />
    <beans:bean id="defaultPasswordEncoder" class="com.mycomp.auth.DefaultPasswordEncoder" />

    <authentication-provider user-service-ref="userService">
        <password-encoder ref="defaultPasswordEncoder"/>
    </authentication-provider>


</beans:beans>

我想要做的是为管理站点中的URL使用另一个身份验证提供程序,我目前拥有的是针对flex应用程序的URL.所以我希望管理URL的安全性使用另一个userDetailsS​​ervice bean.

Answer 1

直到最近一直很棘手,但现在很容易!

Spring Security在3.1版中添加了对场景的支持.它目前作为候选版本提供,由SEC-1171实施.语法的详细信息在3.1中包含的手册中.

它使用起来非常简单.基本上,您只需http在Spring Security配置中定义多个元素,每个元素对应一个上下文.我们这样使用它:

<!-- Configure realm for system administration users -->
<security:http pattern="/admin/**" create-session="stateless">
    <security:intercept-url pattern='/**' access='ROLE_ADMIN' requires-channel="https" />
    <security:custom-filter position="PRE_AUTH_FILTER" ref="preAuthFilter" />
</security:http>


<!-- Configure realm for standard users -->
<security:http auto-config="true" access-denied-page="/error/noaccess" use-expressions="true" create-session="ifRequired">
    <security:form-login 
            ...
            ...
</security:http>

需要注意的关键是pattern="/admin/**"第一个http元素.这告诉Spring,所有URL /admin都受该上下文而不是默认上下文的影响 - 因此URL正在/admin使用您的预授权过滤器.

Answer 2

这一切都与 Spring Security 过滤器链拦截应用程序的哪些部分有关。在您的 xml 配置中的某个位置（取决于您是否进行了简单标记配置）有一个如下所示的拦截正则表达式：

<intercept-url pattern="/**" ...>

您可以拥有使用不同配置（也称为安全过滤器链的不同部分）的不同拦截模式。如果您发布当前的配置 xml，我可以给您更具体的答案。

编辑：当前您正在使用http标签来定义 Spring Security 配置。该标签用作快捷方式/帮助程序，它自动定义安全过滤器链的许多部分，也可以手动设置。我认为您的用例不适合自动设置范例，因此您需要为不同的 URL 模式手动设置过滤器链（如我下面的帖子所示）。您可以创建自己的 PreAuthenticationFilter（它将采用自定义 UserDetailsS​​ervice）并将其添加到适当的过滤器链拦截映射中。