如何将不同的 session 创建策略用于 UI 和 REST 具有 Spring 安全性的端点？

Question

我有一个包含 UI 和一些 REST 端点的应用程序。 UI 使用 SAML 登录（旧的 Spring 安全 SAML 扩展）和使用自定义身份验证的 REST 端点。 REST 端点仅由外部应用程序调用。 对于 REST 端点（“/api/**”），我已经声明了无状态的 session 创建策略，对于端点的 rest，根本没有 session 创建策略（我也尝试使用 ALWAYS，如下例所示）。

在某些 Spring 引导版本之前，不确定是哪个，这有效。 目前我正在使用 Spring Boot v.2.6.1。 UI 端点从 Http session 获得身份验证 object。

但现在它不起作用。 使用默认的 HttpSessionSecurityContextRepository 实现，在 Http session 中找不到安全上下文 object。 它已保存，但无法恢复。

那么是否可以使用两个 session 创建策略，一个用于 REST，另一个用于 UI 部分，还是应该以不同的方式处理？ 现在看来，无状态的 session 创建策略也被 UI 使用了，这不是故意的。 我正在使用两个 WebSecurityConfigurerAdapter 类； 一个用于 API，另一个用于 UI。 SAML 登录成功后，重定向 URL 现在包含“;jsessionid=6051854D94A0771BB9B99FE573AA4DFD”参数。 可能是因为无国籍政策......？

    protected void configure(HttpSecurity http) throws Exception {

        List<AbstractAuthenticationProcessingFilter> authFilters = new ArrayList<>();
        authFilters.add(new OAuthMacAuthenticationProcessingFilter(authenticationManager(), this.properties));

        ApiAuthenticationProcessingFilter apiAuthenticationProcessingFilter = new ApiAuthenticationProcessingFilter(authenticationManager(),authFilters);

        http
        .csrf()
        .disable()
        .antMatcher("/api/**")
        .authorizeRequests()
        .anyRequest()
        .authenticated()
        .and()
        .exceptionHandling()
        .authenticationEntryPoint((req, rsp, e) -> rsp.sendError(HttpServletResponse.SC_UNAUTHORIZED))
        .and()
        .addFilterBefore(apiAuthenticationProcessingFilter, BasicAuthenticationFilter.class)
        .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

和用户界面部分

    protected void configure(HttpSecurity http) throws Exception {

        http.securityContext().securityContextRepository(customSessionSecurityContextRepository);

        http
        .httpBasic()
        .authenticationEntryPoint(samlEntryPoint());

        http
        .addFilterBefore(metadataGeneratorFilter(), ChannelProcessingFilter.class);

        var auth = http
                .authorizeRequests()
                .antMatchers("/saml/**").permitAll()
                .antMatchers("/loggedout/**").permitAll()
                .antMatchers("/error").permitAll();
                
        auth
        .anyRequest()
        .authenticated();

        http.csrf().disable();

        http.sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.ALWAYS);

        http.headers().frameOptions().sameOrigin();

        http.exceptionHandling().accessDeniedHandler(this.accessDeniedHandler());

        http
        .logout()
        .disable();    // The logout procedure is already handled by SAML filters.
    }

Answer 1

我会自己回答这个问题。 上面的代码确实有效。 问题出在远端，那天我使用的 IDP 出现了一些问题，导致它没有按预期工作。 第二天，它奏效了。