java - Spring中基于 token 的身份验证

Question

我们有一个 Spring Web 应用程序，它已经使用 Spring security 来验证用户身份并授予对一组受限页面的访问权限。然而，我们还有另一组我们希望获得的资源。对于第二组，我们不需要用户身份验证，而是希望用户进入页面:/access.html 并输入访问代码(之前通过电子邮件发送给他们)，然后他们将被授予无需登录即可访问这些资源的权限。访问代码( token )仅在有限的时间内有效，然后就会过期。

我可以使用 spring security 以某种方式与我们已有的用户身份验证设置并行地实现此功能吗？

Answer 1

当然，有几种方法可以做到这一点。听起来您需要做的就是创建一个过滤器，可以检查 session /请求中的 token 并创建/更新 Spring Security 上下文以获得所需的角色。然后授权将正常进行。

特别是您将添加 GrantedAuthories给您Authentication Spring Security Context 的对象。这个过程有很多细节，我承认我的答案并不完整，但完整的答案会非常广泛。