JAX-RS和Spring Security - 获取经过身份验证的用户

Question

我目前正在使用Jersey （JAX-RS impelemntation）和Spring的某些部分实现REST API。

我已经使用自定义过滤器和自定义AuthenticationEntryPoint在Spring Security中实现了无状态身份AuthenticationEntryPoint ，问题是，如何在JAX-RS类中获取当前用户。

我知道在Spring MVC中可以将Principal对象注入控制器方法，但是JAX-RS类呢？ 我想避免使用SecurityContextHolder.getContext().getAuthentication()来污染我的类。

一种方法是创建自定义类，它将作为此静态调用的适配器，并将其注入我需要的每个服务类，或者可能已经在Spring Security中公开了这种适配器？ 除了我的提议，在我的情况下是否有一些“更好”的方式来获取当前登录的用户？

Answer 1

使用JAX-RS，您可能希望定义一种创建可以使用@Context注入的自定义实体的方法。 不幸的是，JAX-RS规范没有说明如何做到这一点，但它的实现确实如此。 例如，CXF（适用于Spring）可以这样做：

public class AuthenticationContextProvider implements ContextProvider<Authentication> {
    public Authentication createContext(Message message) {
        return SecurityContextHolder.getContext().getAuthentication();
    }
}

然后，您必须注册该提供程序，然后您可以执行以下操作：

@GET
@Path("/{id}")
@Produces("text/plain")
public String demonstration(@PathParam("id") String id,
        @Context UriInfo ui, @Context Authentication auth) {
    // ...

你可以用泽西做类似的事情（如上面链接的问题所示），但我不太了解泽西。

Answer 2

您可以使用@Context注释注入HttpServletRequest。 这适用于JAX-RS资源方法参数和JAX-RS资源字段。 也许这可以帮到你？