Spring 安全访问任何用户身份验证 object

Question

我正在开发 SpringBoot 有状态应用程序。 出于管理目的，我需要能够访问任何用户 session 并在那里修改属性。

现在，我知道如何成功访问当前（我的）用户Authentication object：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
OAuth2User principal = (OAuth2User) authentication.getPrincipal();

但是如何为任何其他用户做同样的事情？

是否可以通过用户名或类似名称找到 session？ 我真的很感激这个例子。

Answer 1

没有内置机制来执行您想要的操作，但您可以编写一个自定义HttpSessionListener来保存对活动会话的引用，在到期时将其删除，并公开一些方法来操作 session 属性。 您可能还希望将一些用户 ID 与可用于执行用户查找的会话相关联，因此还需要注册AuthenticationSuccessHandler来执行此操作。

您登录的用户管理器将如下所示：

@Service
public class LoggedInUsersManagerService implements HttpSessionListener {

    // assuming you have some session storage here, 
    // can be something as simple as just a map

    public void sessionCreated(HttpSessionEvent se) {
        final HttpSession session = se.getSession();
        sessionStore.put(session.getAttribute(USER_ID_ATTRIBUTE), session);
    }


    public void sessionDestroyed(HttpSessionEvent se) {
        final HttpSession session = se.getSession();
        sessionStore.remove(session.getAttribute(USER_ID_ATTRIBUTE));
    }

    public void doSomethingWithUserSession(UserIdType id) {
        final HttpSession session = sessionStore.get(id);
        if(session != null) {
            //do what you need with the session attributes
        }
    }
}

你的 SuccessHandler 看起来像

public class MyAuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response,
            Authentication authentication) throws IOException, ServletException {
        HttpSession session = request.getSession();
        session.setAttribute(USER_ID_ATTRIBUTE, getUserIdFromAUthentication(authentication));
        //maybe do something else as well
    }

}

您可以在 spring 安全配置中注册成功处理程序，例如像这样

http
    .oauth2login()
    .successHandler(myAuthenticationSuccessHandler)

请记住，在用户仍在使用您的服务时操作 session 数据并不是一个好主意，因此除非绝对需要，否则我不建议您这样做。