java - 提供配置 spring security 的方法？

Question

是否可以通过从外部文件读取配置详细信息并进行相应配置的方式来配置 Spring 安全性？

(我不是在谈论在运行时更改配置，我是在谈论在启动时从文件中读取)。

我现有的 Spring 安全配置示例:

@EnableWebSecurity
@Configuration
public class SecurityConfig {

    @Bean                                                             
    public UserDetailsService userDetailsService() throws Exception {
        InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
        manager.createUser(User.withUsername("user").password("userPass").roles("USER").build());
        manager.createUser(User.withUsername("admin").password("adminPass").roles("ADMIN").build());
        return manager;
    }


    @Configuration
    @Order(1)                                                        
    public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {

        @Override       
        public void configure(AuthenticationManagerBuilder auth) 
          throws Exception {            
            auth.inMemoryAuthentication().withUser("user").password("user").roles("USER");
            auth.inMemoryAuthentication().withUser("admin").password("admin").roles("ADMIN");
        }

        protected void configure(HttpSecurity http) throws Exception {
            http
                .antMatcher("/api/v1/**")                               
                .authorizeRequests()
                .antMatchers("/api/v1/**").authenticated()
                    .and()
                .httpBasic();
        }
    }

    @Configuration
    @Order(2)
    public static class FormLoginWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

        @Override       
        public void configure(AuthenticationManagerBuilder auth) 
          throws Exception {

            auth.inMemoryAuthentication().withUser("user1").password("user").roles("USER");
            auth.inMemoryAuthentication().withUser("admin1").password("admin").roles("ADMIN");
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .antMatcher("/api/test/**")
                .authorizeRequests()
                .antMatchers("/api/test/**").authenticated()
                    .and()
                .formLogin();
        }
    }
}

如您所见，我使用了多个配置(查看 Order() 注释)。我希望能够做的是在启动时决定配置的数量和类型。例如，第一个客户端可能想要 2 个配置(例如 LdapConfig 和 SamlConfig)，第二个客户端可能想要 LdapConfig 和 SqlConfig 第三个可能需要 4-5 个配置。有可能吗？

注意:我没有使用 Spring Boot

编辑

我为什么要这样总结:

客户是指将购买我的产品的公司。我所说的用户 是指购买我的产品的公司的实际最终用户。所以我把产品发给了 3 家公司。首先将其配置为具有ldap 身份验证流程 和google-oauth2 身份验证流程。这第一家公司的用户将看到带有这两个选项的登录页面。公司 2 现在可能有 ldap 身份验证流程 和 saml 身份验证流程，该公司的用户将看到这 2 个选项。公司在启动前选择可用的选项。

Answer 1

您可以加载属性，例如数据库凭据，在创建 WebApplicationContext 之前。看下面的例子:

public class WebAppInitializer implements WebApplicationInitializer {

@Override
public void onStartup(ServletContext servletContext) throws ServletException {
    // Tell the EnvironmentManager to load the properties. The path to the config 
    // file is set by Tomcat's home variable. If you change the container you might 
    // need to change this, too.
    EnvironmentParamManager.initialize(System.getProperty("catalina.home"));

    // now create the Spring Context
    AnnotationConfigWebApplicationContext rootContext = 
        new AnnotationConfigWebApplicationContext();
    rootContext.register(RootConfig.class);
    rootContext.setServletContext(servletContext);
    SpringApplicationContextProvider.configure(rootContext);
    // ... other config
}

EnvironmentParamManager 可能看起来像这样。我决定将其设为静态，以便即使在应用程序的非 Spring 部分也可以从任何地方访问这些属性。

public class EnvironmentParamManager {

  private static Properties properties = new Properties();

  public static void initialize(String pathToConfigFile) {
    BufferedInputStream stream;
    try {
        stream = new BufferedInputStream(new FileInputStream(
           pathToConfigFile + "myconfig.props"));
        properties.load(stream);            
        stream.close();
    } catch (Throwable e) {
        throw new Error("Cannot read environment settings from file " + pathToConfigFile);
    }
  }

  public static String getMongoDBHostname() {
    return properties.getProperty("mongodb.username");
  }

}

使用 JavaConfig 时，您可以像这样在 Bean 创建阶段轻松访问配置属性

@Configuration
public class CoreConfig {

@Bean
public MongoDbFactory mongoDbFactory() throws Exception {
  ...
  ServerAddress address = new 
     ServerAddress(EnvironmentParamManager.getMongoDBHost(), 
                   EnvironmentParamManager.getMongoDBPort());
  ...
}

当然，您可以自由连接到任何其他服务，如 LDAP 等，就像在引导 Spring 上下文之前加载本地属性文件一样。希望对您有所帮助。