Spring Security 与 REST 服务的 SAML token

Question

我正在寻找一个简单的 Spring 安全配置示例(首选 Java 配置)，了解如何使用 Spring-Security 和 SAML 保护我的 REST 服务。

前面有一个 Web 应用程序防火墙，它只会传递包含有效 SAML token 的请求，或者重定向到 IDP 来获取 token 。因此，我不必查看用户是否已登录，也不必将用户重定向到 IDP。

我唯一需要做的就是只允许对所有 REST 服务进行身份验证的请求，从 SAML token 读取用户并检查 token 是否来自 Airlock。

稍后我需要添加 ACL 支持，以实现用户对特定服务的更细粒度的权限，但我已经迷失了 Spring Security 中集成工作的第一部分。欢迎任何帮助:)

Answer 1

魔法发生在这里:https://github.com/spring-projects/spring-security-saml/blob/master/core/src/main/java/org/springframework/security/saml/SAMLProcessingFilter.java

在 attemptAuthentication() 中，它获取 SAML 消息，对其进行解析并获取 token (SAMLAuthenticationToken)。然后它尝试对用户进行身份验证:authenticate(token);