使用Spring Security 3.2保護AngularJS SPA

Question

歡迎任何幫助，建議和經驗。

我目前在Apache HTTP Server上有一個單獨的AngularJS SPA，在Tomcat 7 Servlet上有一個Spring后端。 后端用作SPA的Rest API。 一些休息資源將要求用戶具有特定角色。

我幾天來一直在互聯網上搜索實施最佳安全策略的內容和方法：

• 基本認證
• 消化
• OAuth的
• 無國籍，餅干？ 會議？ 令牌？ CSRF？

您如何將Json或XML中的Spring Security與SPA通信以向用戶顯示身份驗證頁面或“您已成功驗證的頁面”？

任何幫助表示贊賞。

Answer 1

我終於想出了如何使用Rest Restend對SPA進行身份驗證。

在春天的安全我創造了一個

• 自定義SimpleUrlAuthenticationFailureHandler，如果登錄嘗試失敗，則返回HTTP-Unauthorizated。
• 自定義SavedrequestAwareAuthenticationSuccessHandler，如果登錄嘗試成功，則返回Http-Oke。
• 自定義AuthenticationEntryPoint返回Http-Unauthorizated而不是重定向。
• 自定義LogoutSuccessHandler返回Http-OK。
• 我禁用了CSRF。

如果有人需要更多幫助，請隨時告訴我或給我留言。

Answer 2

我強烈推薦觀看這個Spring的介紹性視頻 。 它使用Java配置從頭開始解釋了Spring Security的用法。 除了基本配置，身份驗證和CLRF令牌使用也會深入到現場安全性。 雖然在Thymeleaf的服務器上使用模板，但也可以為基於REST的應用程序提供很多智慧。