"自定义 AuthenticationFilter 设置“LoginProcessingUrl”无效"

Question

我正在构建一个 OAuth2 授权服务器，它支持带有 Spring Authorization Server 和 Spring Security 的 Restful API。 我想要一个由 React 构建的 SPA 应用程序在\/login<\/code>提供登录界面，并通过 Post 请求将登录信息提交到\/api\/login<\/code>路径。 我扩展了UsernamePasswordauthenticationFilter<\/code>以支持 Restful 风格的 Post 请求来解析来自正文的 Json 数据：

public class RestfulUsernamePasswordAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

    public RestfulUsernamePasswordAuthenticationFilter(AuthenticationManager authenticationManager) {
        super(authenticationManager);
    }

    private String jsonUsername;
    private String jsonPassword;

    @Override
    protected String obtainPassword(HttpServletRequest request) {
        if (request.getContentType().equals(MediaType.APPLICATION_JSON_VALUE)) {
            return this.jsonPassword;
        } else {
            return super.obtainPassword(request);
        }

    }

    @Override
    protected String obtainUsername(HttpServletRequest request) {

        if (request.getContentType().equals(MediaType.APPLICATION_JSON_VALUE)) {
            return this.jsonUsername;
        } else {
            return super.obtainUsername(request);
        }

    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)
            throws AuthenticationException {
        if ("application/json".equals(request.getHeader("Content-Type"))) {
            try {
                /*
                 * HttpServletRequest can be read only once
                 */

                //json transformation
                Map<String, String> requestMap = new ObjectMapper().readValue(request.getInputStream(), Map.class);


                this.jsonUsername = requestMap.get("username");
                this.jsonPassword = requestMap.get("password");
            } catch (Exception e) {
                throw new AuthenticationServiceException(e.getMessage(), e);
            }
        }

        return super.attemptAuthentication(request, response);
    }
}

Answer 1

我想我在阅读完这篇博客<\/a>后解决了这个问题。 正如它所说：

提供自定义过滤器后，您将无法再使用 Spring HttpSecurity 构建器。 如果您仍然使用它，您将配置默认过滤器，而不是您的！

我们通过“addFIlterBefore”函数告诉 Spring 使用我们的实现。

经过这个小修改后，测试 API 的工作方式相同，唯一的区别是您应该在 POST 请求正文（而不是查询字符串）中提供“登录”和“密码”参数。

因此，我必须使用过滤器类的setRequiresAuthenticationRequestMatcher<\/code>手动设置AntPathRequestMatcher<\/code> ，如下所示：

通过这种方式，您可以像正式使用loginProcessingUrl<\/code>一样配置处理 POST 请求的路径。
以后你也可以使用同样的方法添加更多的自定义过滤器和 authenticationProvider，只需手动配置它们。