在Spring Security过滤器链中处理多个自定义过滤器

Question

我需要使用基于令牌（JWT）的方法来保护我的REST api。 我的应用程序具有两个身份验证系统：1. Azure AD（来自Azure的用户）2.自定义JWT身份验证（来自db的用户）我需要允许（授权）来自两个系统（Azure和DB）的用户访问api。 因此，我必须针对两个auth系统检查一个令牌，并验证它们是否有人返回true。

授权实现：1.我在春季安全链中使用了AADAuthenticationFilter（扩展了OncePerRequestFilter）来验证Azure令牌

（来源： https : //github.com/Microsoft/azure-spring-boot使用azure-active-directory-spring-boot-starter（0.2.0））

2. 我在Spring安全链中实现了Custom JWTAuthenticationFilter（扩展了OncePerRequestFilter）来验证Custom JWT令牌。

我在SecurityConfiguration类中都使用了它们。

但是，如果来自Spring安全链的任何一个过滤器（AADAuthenticationFilter或JwtTokenAuthenticationFilter）都无法通过验证，则安全性将失败。 我的要求是，如果任一令牌为true，则允许请求。

请建议我最好的方法！

我尝试执行以下方法，但未成功：1.我尝试处理异常的Custom JwtTokenAuthenticationFilter，我是否有任何方法将请求传递给第二个过滤器？ 2.如果令牌在第一个令牌过滤器验证中是成功的，那么我如何跳过第二个过滤器（或从堆栈中删除第二个过滤器）？

如何绕过请求以满足我的要求？

@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class SecurityConfiguration {

    @Configuration
    @Order(2)
    @EnableOAuth2Sso
    public static class ApiWebAzureSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {

        @Autowired
        private AADAuthenticationFilter aadAuthFilter;

        @Override
        protected void configure(HttpSecurity http) throws Exception {

            http.authorizeRequests().requestMatchers("/api/**").authenticated();

            // Added AADAuthenticationFilter for Azure 
            http.addFilterBefore(aadAuthFilter, UsernamePasswordAuthenticationFilter.class);
        }
    }

    @Configuration
    @Order(1)
    public static class ApiWebJWTSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {

        @Autowired
        JwtTokenAuthenticationFilter jwtTokenAuthenticationFilter;

        @Override
        protected void configure(HttpSecurity http) throws Exception {

            http.authorizeRequests().antMatchers(HttpMethod.GET, "/api/**").hasRole("USER")
                .anyRequest().authenticated();

            // Add our custom JWT security filter 
            http.exceptionHandling()
                .authenticationEntryPoint(new JwtAuthenticationEntryPoint()).and()
                .addFilterBefore(customFilter, UsernamePasswordAuthenticationFilter.class);
        }
    }

}

----------------------------
Please find my filter implementation

@Component
public class JwtTokenAuthenticationFilter extends OncePerRequestFilter {

@Autowired
private JwtTokenProvider jwtTokenProvider;

@Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        // Extract token from header
        String token = jwtTokenProvider.resolveToken((HttpServletRequest) request);
        //validate the token 
        if (token != null && jwtTokenProvider.validateToken(token,request, response)){
            Authentication auth = jwtTokenProvider.getAuthentication(token);

            if (auth != null) {
                SecurityContextHolder.getContext().setAuthentication(auth);
            }
        }
        filterChain.doFilter(request, response);

    }

}

如果令牌是根据至少一个身份验证系统验证的，则我必须允许请求。