java - 您可以使用 Spring 3 同时进行表单和基本身份验证吗

Question

我想要表单和基本身份验证。

如果请求是 https://username:password@mysite.com/使用基本身份验证。如果请求类似于 https://mysite.com使用表单例份验证。

这可能吗？

Answer 1

是的，这是可能的。

假设您正在使用命名空间配置，这真的很容易。默认情况下，如果您在 http 元素上使用自动配置，它们都会启用。请参阅 springsecurity3 引用文档的第 2.2 节。您可以使用 http 元素上的 realm 属性为基本身份验证设置自定义领域。表单和基本身份验证都将使用配置的任何身份验证提供程序。

如果你没有在 http 元素上使用自动配置，你只需要添加一个 <http-basic />标记为 http 元素的子元素以启用基本身份验证。很有可能您对表单例份验证的默认配置不感兴趣，因此该标记可能会稍微复杂一些。

我的看起来像这样:

    <form-login login-page="/login.html"
        default-target-url="/home.html" always-use-default-target="true"
        authentication-success-handler-ref="authenticationSuccessHandler"
        authentication-failure-handler-ref="authenticationFailureHandler"
        login-processing-url="/j_spring_security_check" />

显然，必须允许匿名访问/login.html 路径。该页面需要呈现一个提交给/j_spring_security_check 的表单，过滤器将拦截该表单，找到用户名和密码，并根据配置的身份验证提供程序进行身份验证。如果深入研究命名空间的其余部分，您会发现可以覆盖字段的名称等。

我不确定 spring 是否总是默认使用 form auth，除非在请求中提供了 Authorization header 并且它缺少有效的用户名/密码对，或者它是否默认使用第一个或最后一个过滤器，或者什么.但是实验应该能让你很容易地弄清楚这一点。查看第 8 章的最后一节和第 9 章的第一节，它似乎会将所有未经身份验证的用户发送到表单入口点，除非请求中有 Authorization header ，在这种情况下，将导致身份验证失败在基本身份验证中需要对客户端的响应。如果您想手动配置所有内容而不是使用 namespace ，您还可以查看第 8 章和第 9 章。

身份验证成功处理程序和身份验证失败处理程序必须实现 AuthenticationSuccessHandler 和 AuthenticationFailureHandler 并允许您自定义过滤器将如何响应成功和失败的身份验证尝试。它们不是必需的。