java - 在 Spring Boot 应用程序和 hawt.io 中使用基本身份验证的 Jolokia

Question

我正在尝试做的事情:

我正在尝试运行一个带有嵌入式 Jolokia 的示例 spring boot 应用程序，在其上配置基本身份验证并从 hawt.io 连接到它，这是一个试点项目。

我的设置(一切都在本地主机上，没有防火墙):

• 8080 端口上的 Spring 应用程序(默认)
• 5555 端口上的 Hawtio

我使用的是最新的 spring boot 可用于我使用 jolokia 和 hawt.io 的示例应用程序(免责声明我对 spring boot 和 spring security 相当陌生)

Spring Boot 版本:1.5.2 RELEASE Spring 安全:4.2.2 发布Jolokia:1.3.5

测试 1:完全没有 spring security 运行(我在 application.properties 中设置了 management.security.enabled=false) - 一切都按预期工作，我可以从我的浏览器和我在本地运行的 hawt.io 应用程序连接到 localhost:8080/jolokia 而无需任何用户名/密码

测试 2:注释掉 management.security.enabled=false 行并创建以下配置文件以插入 spring security:

@Configuration
@EnableWebSecurity
public class SpringSecurityConfiguration extends WebSecurityConfigurerAdapter {

@Autowired
public void configureGlobalSecurity(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
            .withUser("admin")
            .password("admin")
            .roles("ACTUATOR");
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests()
            .antMatchers("/").permitAll()
            .antMatchers("/error").permitAll()
            .antMatchers("/jolokia/**").hasRole("ACTUATOR")
            .and().httpBasic();
 }
}

在这一步之后，我看到当从浏览器连接到 localhost:8080/jolokia 时，我看到一个基本的身份验证弹出窗口，我输入 admin/admin 并看到 Jolokia 响应，所以我得出结论，我的 spring 安全设置是 OK

现在是运行 hawt.io 的时候了:

java -jar hawtio-app-1.5.0.jar --port 5555

现在，当我在输入我的 localhost:8080/jolokia 连接的详细信息后点击 hawt.io UI 上的“连接”(它没有任何用户/密码文本字段)时，它会把我带到 hawt.io 登录屏幕。当我在那里输入 admin/admin 时，我看到一条“无法连接，禁止访问”的 UI 消息。

我尝试查看 hawt.io 发送到我的 localhost:8080 的请求(使用 burp 套件)，我看到在看到 hawt.io 登录屏幕之前我看到很多 401(未经授权)响应试图在 8080 上查询 jolokia(当然我这样做了，因为它在进入 admin/admin 之前 - 所以没有机会提前知道)。在我进入 hawtio 的登录屏幕后，输入 admin/admin 并按“登录”——我根本看不到从 hawt.io 到 8080 的任何请求。我只看到一个从 UI 到 hawt.io 服务器的请求，它以 403 响应。所以我怀疑它是 hawt.io 本身的内部身份验证窗口，它与 jolokia 无关。

所以我要问的是 - 我在此设置中缺少什么，我应该如何配置 hawt.io 才能连接到我的设置？

提前致谢

Answer 1

将 jolokia 主机名添加到属性 hawtio.proxyWhitelist 为我完成了这项工作。