- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
我正在开发一个 Spring-MVC 项目,其中使用 Spring-security 进行身份验证和授权。除此之外,我还使用 Cometd 库通过 Websocket 发送消息。在监听器内收到消息后,当我尝试获取当前经过身份验证的用户时,它始终为空。
如何确保 Cometd 中的每个请求至少包含 Spring-security 识别所需的 JSESSIONID?
或者 Spring-security 中是否有一些设置可以使这成为可能。
据我查找,有很多用户面临这个问题,但没有明确的答案或有帮助的代码。
测试代码:
@Listener(value = "/service/testlistener/{id}")
public void testlistener(ServerSession remote,
ServerMessage message, @Param("id") String id) {
try {
Person user = this.personService.getCurrentlyAuthenticatedUser();
Map<String, Object> data = message.getDataAsMap();
System.out.println("currentlyAuthenticatedUser: " + user + " \nTransmitted Data in map:" + data.get("name"));
Map<String, Object> output = new HashMap<>();
output.put("name", user.getFirstName());
ServerChannel serverChannel = bayeux.createChannelIfAbsent("/person/" + id).getReference();
serverChannel.setPersistent(false);
serverChannel.publish(serverSession, output);
} catch (Exception e) {
e.printStackTrace();
}
}
cometd.js:
var connectionIntervall = null;
var onlineElement = document.getElementById("browser-online");
var cometd = $.cometd;
cometd.configure({
url: navigationController.generateCometDUrl(),
logLevel: 'error',
stickyReconnect: false,
appendMessageTypeToURL: false,
requestHeaders : navigationController.generateCometDHeaders()
});
var connects = 0;
cometd.addListener('/meta/handshake', _metaHandshake);
cometd.addListener('/meta/connect', _metaConnect);
cometd.websocketEnabled = true;
cometd.handshake();
最佳答案
解决方案:- cometd D 4.0.2- Spring 4.3.9.RELEASE- Spring Security 4.1.0.RELEASE
在我的项目中,我们在从“长池”连接切换到“websocket”连接时遇到了类似的问题。澄清一下 - 一个区别 - 我们仅在“握手”期间使用“用户上下文”。
使用“长池”Cookie 和 JSESSIONID 可以被 Spring 正确解释,并且我们正在“用户上下文”中工作。切换到“websocket”后,“用户上下文”似乎在运行消息接收代码之前丢失了。
我们找不到合适的解决方案 - 我认为以下代码只是一个 hack。但这对我们有用。
import org.cometd.bayeux.server.BayeuxServer;
import org.cometd.bayeux.server.ServerMessage;
import org.cometd.bayeux.server.ServerSession;
import org.cometd.server.DefaultSecurityPolicy;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.context.SecurityContextHolder;
public class BayeuxAuthenticator extends DefaultSecurityPolicy implements ServerSession.RemoveListener {
// (...)
@Override
public boolean canHandshake( BayeuxServer server, ServerSession session, ServerMessage message ) {
SecurityContextHolder.getContext().setAuthentication( ( UsernamePasswordAuthenticationToken ) message.getBayeuxContext().getUserPrincipal() );
String user = securityService.getUserName();
// (...)
return true;
}
// (...)
}
以下行是最重要的
SecurityContextHolder.getContext().setAuthentication( ( UsernamePasswordAuthenticationToken ) message.getBayeuxContext().getUserPrincipal() );
编辑2:
我们正在接收数据
String user = securityService.getUserName();
其中 securityService 是 Spring @Service,受 Spring @Secured(/* 预期角色 */) 保护。 (@Secured 注释在设置上下文之前为我们产生了授权异常)
里面有上下文读取和用户数据:
SecurityContextHolder.getContext().getUserPrincipal().getName()
但说实话,如果您只需要“用户主体”,那么从以下位置读取它可能就足够了:
message.getBayeuxContext().getUserPrincipal() // instanceof java.security.Principal
在我们的例子中是类型
org.springframework.security.authentication.UsernamePasswordAuthenticationToken
也许在你的情况下它是不同的子类?
为了澄清 - 在 Web 套接字连接启动期间,我们在请求中传递了带有正确 JSESSIONID 的 Cookie。
WebSocket 连接请求:
Accept-Encoding: gzip, deflate, br
Accept-Language: en-US,en;q=0.9,pl;q=0.8
Cache-Control: no-cache
Connection: Upgrade
Cookie: XSRF-TOKEN=<some token>; Idea-<some token>; lastOpenTab=sourcing/content; io=<some token>; BAYEUX_BROWSER=<some token>; JSESSIONID=<some token>
Host: localhost:8090
Origin: http://localhost:8090
Pragma: no-cache
Sec-WebSocket-Extensions: permessage-deflate; client_max_window_bits
Sec-WebSocket-Key: NTtWtXAL8ReIB0LjvI2G0g==
Sec-WebSocket-Version: 13
Upgrade: websocket
User-Agent: Mozilla/5.0 ...
关于java - Cometd,Spring 安全 : Currently authenticated user not available inside a Listener,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/52779330/
我是一名优秀的程序员,十分优秀!