如何在grails和现有的oauth2提供程序中使用spring security实现基于表单的登录

2 回答

• 0

  有点难过，我正在回答我自己的问题 . 但我想知道我的解决方案是否是解决此问题的正确方法 .

  所以我们最终做的是使用过滤器 . 我们知道拦截器应该是Grails 3的方法，但在到达之前我们只想拥有一个带过滤器的工作版本 .

  在我们的AuthController.signIn方法中，我们通过UsernamePasswordAuthenticationToken身份验证过程并实际将SecurityContext推送到HTTP会话中 . 顺便说一句，有趣的是，我后来发现这实际上已经为我做了（使用“SPRING_SECURITY_CONTEXT”键），不需要我显式地执行session.setAttribute . 我的理由是，由于SecurityContext仅使用UsernamePasswordAuthenticationToken对此请求进行了身份验证，因此我需要将其保留在HTTP会话中，以便我可以为后续请求重新加载它 . 因此，在我作为第一个顺序放置的过滤器中，我检查HTTP会话中的SecurityContext并将其“身份验证”复制到当前的SecurityContext中 . 请注意，如果在HTTP会话中找不到任何内容，我们还有一个顺序放置在最后的过滤器，用于将用户重定向到登录页面 .

  通过此更改，我们现在可以访问Controller中的springSecurityService来访问当前登录的用户（在我们无法访问之前） . 我们得到的其他细节包括能够在我们的GSP页面中使用sec：ifAllGranted . 但有些事情仍然不可行 - 我们似乎仍然无法使用@Secured（“＃oauth2.isUser（）”）注释来保护我们的Controller方法，总是点击401.也许我们使用UsernamePasswordAuthenticationToken进行身份验证仍然不是我们需要“完整”认证吗？

  我通过将OAuth2访问令牌而不是SecurityContext推入HTTP Session进一步尝试，并在我的过滤器中添加了“Authorization”HTTP头具有“Bearer”accessToken的值 . 这不起作用，初步记录显示在一个HTTP请求（页面视图）中，我多次进入我的过滤器，并且只有第一次成功将OAuth2访问令牌放入请求的HTTP头中 .

  所以在一天结束时，我想知道的是，我的方法是否正确，使用过滤器来保持用户在会话中连接？或者我应该采用不同的方式做到这一点？另外，如何使用@Secured注释保护我的控制器？

  回复于 2024-05-15T15:22:33+08:00
• 0

  我想知道如果我已经给出答案，SO会如何对待这个答案 . 唉，真正关心的人 - 无论如何我都是那个问这个问题的人 .

  通过我查看的所有文档，例如Grails Security - Reference Documentation和Spring Security Core Plugin - Reference Documentation和Grails Spring Security Core Plugin Custom Authentication以及How to customize spring security plugin Login page in grails我能够发现即使我们使用的是Spring Security OAuth2插件，我们也获得了Spring Security Core Plug-In提供的所有功能 . 这意味着开箱即用支持基于表单的登录，并且还支持自定义登录表单 .

  使用自定义登录表单，而不是让login.gsp调用我们自己的AuthController的signIn方法，我们仍然可以使用$ /的LoginController（随Spring Security插件一起提供）的“authenticate”方法登录/验证 .

  所以我实际上尝试了这一点，当然首先禁用我们的拦截器然后最终有一个导致浏览器保释的重定向循环 . 我认为我们需要做的一些配置（使用chainMap或过滤器）我们没有，这就是为什么它仍然不起作用 .

  有一点帮助是在grails-app / conf / logback.groovy中添加以下两行

  logger 'org.springframework.security', DEBUG, ['STDOUT'], false
  logger 'grails.plugin.springsecurity', DEBUG, ['STDOUT'], false
  

  这给了我很多日志信息以帮助调试 . 出于某种原因，我意识到它在我的请求中以某种方式推送了一个匿名令牌，因为某些内容未经过身份验证 .

  经过一段时间的调试后，我终于发现答案在于application.groovy . 我遇到的问题是，因为默认情况下所有应用程序都有一个Spring Security filterChain，其最后一行/ **匹配JOINED_FILTERS . 我们在安装Spring Security OAuth2 Provider时添加的行与/ **匹配JOINED_FILTERS减去一堆其他过滤器 . 该行实际上是正确的，但因为我们从未删除原始/ **行，并且优先顺序是在此之前 . 所以我需要做的就是删除与JOINED_FILTERS匹配的第一行/ **，现在登录工作正常 .

  最后，我们在filterChain中的行是：

  [pattern: '/rest/**', filters: 'JOINED_FILTERS,-securityContextPersistenceFilter,-logoutFilter,-authenticationProcessingFilter,-rememberMeAuthenticationFilter,-oauth2BasicAuthenticationFilter,-exceptionTranslationFilter'],
  // We want all the other resources to be Web-based
  [pattern: '/web/**',  filters: 'JOINED_FILTERS,-statelessSecurityContextPersistenceFilter,-oauth2ProviderFilter,-clientCredentialsTokenEndpointFilter,-oauth2BasicAuthenticationFilter,-oauth2ExceptionTranslationFilter'],
  // This is just a catch-all that defaults to the same logic as before, it also would match things like /oauth/** or /auth/**
  [pattern: '/**',      filters: 'JOINED_FILTERS']
  

  我们还有一些指向我们自己的AuthController的覆盖的其他配置：

  grails.plugin.springsecurity.auth.loginFormUrl = '/auth/login' // This is our own Login Form
  grails.plugin.springsecurity.failureHandler.defaultFailureUrl = '/auth/login' // Exception message shown in controller
  grails.plugin.springsecurity.adh.errorPage = '/auth/denied' // Copied from LoginController
  

  回复于 2024-05-15T15:22:33+08:00