春季：在代码中检查url的安全性是否设置为none

Question

是否可以在Spring Interceptor preHandle()方法中检查所请求的URL是否受Spring Security保护（是否设置了security="none" ）？

@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
     if(isSecured(request) && !paymentRegistered())
        response.sendRedirect("/payment")
    return super.preHandle(request, response, handler);
}
private boolean isSecured(HttpServletRequest request){
//how to check if url has security=none
}

我的问题是，成功登录后，我想检查用户是否已付费使用服务。 如果没有，我想重定向到付款页面。 我的想法是编写自定义请求范围过滤器或拦截器，并检查用户是否已在数据库中注册了付款。 问题是我不想过滤不安全的URL，例如资源，登录页面，错误页面等。付款页面（受保护的）也应该可用。
也许更好的主意是编写自定义安全过滤器，并将自定义标志添加到Principal对象（例如servicePayed以及其他安全标志： enabed ， accountNonExipired等。

Answer 1

我会编写一个主要基于简单实现SimpleUrlAuthenticationSuccessHandler的自定义AuthenticationSuccessHandler 。

在您的实现中，您应该覆盖onAuthenticationSuccess方法，然后检查是否应将用户重定向到付款页面。

/**
     * Calls the parent class {@code handle()} method to forward or redirect to the target
     * URL, and then calls {@code clearAuthenticationAttributes()} to remove any leftover
     * session data.
     */
    public void onAuthenticationSuccess(HttpServletRequest request,
            HttpServletResponse response, Authentication authentication)
            throws IOException, ServletException {

        if(mustCompletePayment(authentication)){
            handle(request, response, authentication);
            clearAuthenticationAttributes(request);
        }
}

然后，只需使用身份验证对象编写某种mustCompletePayment，您就可以从中检查用户是否必须完成付款，或者您是否已经通过自定义UserDetailsS​​ervice在身份验证期间对其进行检查，只需在身份验证中检查该指示符宾语

编辑：如果您真正想做的是避免在登录用户未完成付款的情况下对登录用户采取任何措施，那么我将通过授予权限进行管理。

如我所见，此处的关键是以一种您可以利用它的方式将用户尚未付款的事实转换为授权层。

您已经实现了逻辑来发现用户是否已完成付款信息，因此您可以编写自己的UserDetailsS​​ervice ，因此在

UserDetails loadUserByUsername(String username)throws UsernameNotFoundException

您可以检查一下，以防万一用户还没有完成付款，只需从UserDetails中删除所有返回的granthedAuthority，然后只说一句用户必须完成付款即可，例如ROLE_USER_HAS_NOT_PAID。

然后，在安全性http config（这是xml版本，但也许您使用的是Java config）中，进行此类映射：

<security:http ...>
     ...
     <security:intercept-url pattern="/secured/payment/**" access="ROLE_USER,ROLE_USER_HAS_NOT_PAID" />
     <security:intercept-url pattern="/secured/**" access="ROLE_USER_HAS_PAID" />
     ...
</security:http>

使用此配置，无论用户是否付款，任何用户都可以访问“付款”页面，而其他页面仅适用于已经付款的用户。 仅请小心，因为一旦用户付费使他可以访问每个页面，则必须更新用户的授权权限。

这样，AuthenticationSuccessHandler不应评估为授予用户权限来决定将用户重定向到何处。 我已经基于有序映射构建了AuthenticationSuccessHandler来进行多次操作，在该映射中，我为需要它们自己的登录页面的每个被授予权限的配置了登录页面。

现在，如果他已完成付款，则禁止任何已记录的用户操作，因此在尝试访问任何其他安全资源时，将引发HTTP 403。 但是，您不希望仅阻止用户执行任何其他操作，而是要将其重定向到付款页面。 在这里，您需要一个AccessDeniedHandler ，您可以在其中执行或多或少的相同检查：

public class CustomAuthenticationAccessDeniedHandler extends
        AccessDeniedHandlerImpl implements AccessDeniedHandler {

    private String errorPage = "/error/403";

    private RedirectStrategy redirectStrategy = new DefaultRedirectStrategy();

    @Override
    public void handle(HttpServletRequest arg0, HttpServletResponse arg1,
            AccessDeniedException arg2) throws IOException, ServletException {
        SecurityContext context = SecurityContextHolder.getContext();
        if(context.getAuthentication() != null && context.getAuthentication().isAuthenticated()){
            if(context.getAuthentication().getAuthorities().contains("ROLE_USER_HAS_NOT_PAID")){
                this.redirectStrategy.sendRedirect(arg0, arg1, "/secured/payment/pay");
                return;
            }
        }
        this.redirectStrategy.sendRedirect(arg0, arg1, this.getErrorPage());        
    }

    public RedirectStrategy getRedirectStrategy() {
        return redirectStrategy;
    }

    public void setRedirectStrategy(RedirectStrategy redirectStrategy) {
        this.redirectStrategy = redirectStrategy;
    }

    @Override
    public void setErrorPage(String errorPage) {
        this.errorPage = errorPage;
    }

    public String getErrorPage() {
        return errorPage;
    }

}

这样，您会将仍必须付款的用户重定向到您的付款页面，在任何其他情况下，将用户重定向到默认的403页面

Answer 2

不知道是否有办法从Spring Security获取此类信息。 但是，也许如果您没有很多不安全的网址，则可以执行以下操作：

private boolean isSecured(HttpServletRequest request) {
    String requestUri = request.getRequestURI();
    return !(request.getMethod().equalsIgnoreCase("GET")
            && (requestUri.contains("error/")
            || requestUri.startsWith("resources/"))
    );
}

或将那些非安全资源移动到某个通用的开始路径，并使用上面的代码中描述的想法。

Answer 3

也许您会找到一种方法，但是恕我直言，您不应该这样做，因为它可能需要深入Spring Security内部。

如果您只想按设计的方式使用Spring Security，则可以实现自定义AccessDecisionVoter 。 例如，如果只能对以“付款”开头的单个安全属性进行投票。 您将该安全属性放入spring安全配置中：

<security:intercept-url pattern="/..." access="PAYMENT,ROLE_ADMIN"/>

限制访问已付费或具有ADMIN角色的用户

要声明自定义投票者，必须替换默认的访问决策管理器。 首先，您需要声明：

<bean id="accessDecisionManager"
      class="org.springframework.security.access.vote.AffirmativeBased">
    <constructor-arg>
        <list>
            <bean class="org.springframework.security.access.vote.AuthenticatedVoter"/>
            <bean class="org.springframework.security.access.vote.RoleVoter"/>
            <bean class="your.package.PaymentVoter"/>
        </list>
    </constructor-arg>
</bean>

然后将其插入到<http>元素中：

<http access-decision-manager-ref="accessDecisionManager"/>