java - 一个 Spring 应用程序中的多个 WebSecurityConfig

Question

我们从安全角度维护我们应用程序的两个版本

1. SAML based spring security 
2. Spring and JDBC based application security.

由于我们的一些客户已经拥有 SAML IDP(如 ADFS 和 GLUU)，他们希望我们为 SSO 集成这些，而一些客户没有 SAML IDP。

有没有一种方法可以让两种配置共存，并根据使用应用程序的客户，将安全性强加给用户。

例如:如果请求是针对客户 a.myserverhost.com 的，则会实现基于 SAML 的安全配置。如果请求是 b.myserverhost.com 则强加其他 webSeciurityConfig

Answer 1

是的，这一切都是可能的。我的建议是实现您自己的 AuthenticationManager管理多个 AuthenticationProvider s(例如 SAML、JDBC)。

您可以在此处插入条件逻辑，以根据特定条件选择正确的提供者。

要获得灵感，请查看默认实现 ProviderManager .

开箱即用的 ProviderManager 将遍历所有 AuthenticationProvider 并尝试对用户进行身份验证。如果它没有找到用户，它会移动到下一个。如果这就是您所需要的，那么您不需要任何自定义实现。