使用spring-boot对相同URL进行身份验证的方式不同

Question

我正在通过注释配置的Spring Boot Web应用程序项目上。 我成功配置了spring-security以在一些URL上添加基本身份验证，在另一些URL上添加sso。 但是实际上我必须修改该行为才能实现此目的：

我的所有URL都通过两种身份验证方法保护，以标识使用方式，我必须阅读请求的标头：如果有ppauth令牌，我将尝试sso身份验证，并且如果我具有Authorification：基本标头，我将尝试基本认证 在另一种情况下，身份验证失败。

在Spring Boot文档中，示例非常简单，它说明了WebSecurityConfigurerAdapter的用法，实际上我们可以通过不同的URL模式确定身份验证方法，而不能通过其他谓词（如标头）确定身份验证方法。

有想法吗？

Answer 1

做某事总是有不止一种方法。 在这种情况下，最简单的方法可能是编写sso过滤器，使其在没有自定义标头的情况下与链一起继续，并将其放在基本auth过滤器之前 。 然后，如果您的自定义过滤器跳过了该请求，它将由基本身份验证处理。

Answer 2

最后，我找到了解决这个问题的方法，所以我将简要分享一下：

因此，我们有多种身份验证方式，在扩展AbstractPreAuthenticatedProcessingFilter几个类中进行了介绍。 （所有这些都不会添加到过滤器链中）

最重要的是，我们得到了MultiAuthModeSecurityFilter ，该类将添加到应用程序的过滤器链中：

在WebSecurityConfigurerAdapter的configure方法中

http.addFilterBefore(new MultiAuthModeSecurityFilter(
                FirstSecurityFilter(),
                SecondSecurityFilter(),
                ThirdSecurityFilter()), RequestCacheAwareFilter.class);

因此， MultiAuthModeSecurityFilter知道我们所有的安全策略，并将通过以下操作将请求分派到正确的过滤器：

    @Override
        public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
            /*some actions to define the right authMethod to use*/
            switch (authMethod) {
                case FIRST:
                    firstFilter.doFilter(servletRequest, servletResponse, filterChain);
                    break;
                case SECOND:
                    secondFilter.doFilter(servletRequest, servletResponse, filterChain);
                    break;
                case THIRD:
                    thirdFilter.doFilter(servletRequest, servletResponse, filterChain);
                    break;
                default:
                    /* throws exception */ break;
            }
        }

希望这个能对您有所帮助 ！