java - AuthenticationEntryPoint 仅有时被称为

Question

我有一个简单的 AuthenticationEntryPoint，它应该为未经授权的请求设置 WWW-Authenticate header 。

@Component
public class CustomAuthenticationEntryPoint implements AuthenticationEntryPoint {

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException)
            throws IOException, ServletException {
        response.setHeader("WWW-Authenticate", "FormBased");
        response.sendError(401, authException.getMessage());
    }
}

我在 AuthorizationServerConfigurer 的配置方法之一中使用它

@Override
public void configure(AuthorizationServerSecurityConfigurer authorizationServerSecurityConfigurer) throws Exception {
    authorizationServerSecurityConfigurer.authenticationEntryPoint(authenticationEntryPoint);
}

不过，这个开始方法并不总是被调用。当请求中没有 Authorize header 或 Authorize header 值不以“Basic”开头时，它会被调用。但是，如果 Authorize header 以“Basic”开头，则不会调用开始方法(并且响应的值为 Basic realm="oauth2/client")。如何确保调用此方法？

Answer 1

正如 AliDehghani 所指出的，这是因为 BasicAuthenticationFilter 使用 BasicApplicationEntryPoint 而不管 AuthorizationServerSecurityConfigurer 中声明的 ApplicationEntryPoint >。为了让 BasicAuthenticationFilter 使用我的 CustomApplicationEntryPoint 我需要创建一个新的 CustomBasicAuthenticationFilter 并添加 @Autowire 注释给构造函数:

@Component
public class CustomBasicAuthenticationFilter extends BasicAuthenticationFilter {

    @Autowired
    public CustomBasicAuthenticationFilter(AuthenticationManager authenticationManager,
                                     AuthenticationEntryPoint authenticationEntryPoint) {
        super(authenticationManager, authenticationEntryPoint);
    }
}

然后将其添加到 AuthorizationServerConfigurer 的配置方法之一

@Override
public void configure(AuthorizationServerSecurityConfigurer authorizationServerSecurityConfigurer) throws Exception {
    authorizationServerSecurityConfigurer
            .authenticationEntryPoint(authenticationEntryPoint)
            .addTokenEndpointAuthenticationFilter(customBasicAuthenticationFilter);
}

现在应用程序使用我的 CustomBasicAuthenticationFilter - 它在功能上等同于 BasicAuthenticationFilter。但是，它现在包含在构造期间声明的 AuthenticationEntryPoint bean - 这是我的 CustomAuthenticationEntryPoint。