authentication - Grails 3和Spring Security-在过滤器中对用户进行身份验证

Question

我正在开发一个具有Spring Security插件的Grails 3 Web应用程序，该应用程序已经大量使用@Secured批注来根据单个登录用户的特权来保护 Controller 和操作。
当前通过通常的用户名/密码对管理登录。

现在提出了一个新要求，其中涉及一个自定义请求 header ，其值为一种“授权 token ”:

此 token 标识一组用户(我们称为团队)

如果该 token 被认为是有效的，并且与DB匹配，则整个应用程序应以登录的预定义用户(我们称为John，属于团队的一部分)的行为运行。从这个意义上讲，它应该作为预身份验证。该用户将具有自己的角色，因此应用程序将做出相应的响应，就像John会使用自己的用户名/密码登录一样。

如果无法识别 token ，则必须返回401状态。

如果未传递 token ，则应用程序必须具有其当前行为，对 token 管理应视为可选的，根本不影响当前实现。

我考虑过定义一个自定义过滤器(我也查看了 post，但是它有不同的要求)，但是我什至无法确定:

此任务的可行性

过滤器是否是最好的方法(但是我想拦截器触发得太晚了，在Spring Security发挥作用之前我需要评估一些其他逻辑)

，扩展

的最佳过滤器

因此，任何建议都值得欢迎!提前致谢

Answer 1

这不是专家，但是我将实现自定义UserDetailsS​​ervice并根据 token 条件设置权限。您也许还可以在AuthenticationSuccessListener中做到这一点。