spring-security - 使用 Spring Security 的预认证/单点登录

Question

我正在开发两个 Web 应用程序，一个是服务器应用程序，另一个是客户端应用程序，两者都使用 Spring Security。我的用例是这样的，在用户登录到服务器应用程序后，用户可以从服务器应用程序中的链接访问客户端应用程序。由于用户在单击这些链接时不必再次登录(这是我的要求的一部分)，因此我决定使用类似于单点登录的策略，以便将他们的身份验证信息从服务器应用程序转发到客户端应用程序。

在客户端应用程序上，我使用 Spring Security 的 RequestHeaderAuthenticationFilter 来查找由服务器应用程序设置的自定义请求 header 。

1. 如果找到此自定义 header ，我是否必须进一步验证此请求是否可信？在 Spring's Pre-Authentication doc , RequestHeaderAuthenticationFilter 不执行任何身份验证，并将假定请求来自 SM_USER 属性中指定的用户。如何确保请求是真实的？

2. 如何使用 http 请求中的自定义 header 将用户从一个应用程序发送到另一个应用程序？重定向请求不起作用，因为 header 信息将丢失。转发不起作用，因为转发的请求不会通过客户端应用程序上配置的 Spring Security 过滤器，因此请求永远不会“经过身份验证”，也不会创建 session 。

Answer 1

由于我没有收到任何回复，我稍微改变了方法以实现相同的 SSO 行为。我在这里回答我自己的问题以结束这个问题。

我没有使用 RequestHeaderAuthenticationFilter，而是继承了 Spring 的 AbstractPreAuthenticatedProcessingFilter，它从 HttpRequest 中检索 Principal 和 Credentials。然后，我实现了一个自定义 preAuthenticatedUserDetailsS​​ervice，它将在加载 UserDetails 之前使用服务器应用程序验证凭据。

至于 #2，我不再在初始预验证登录请求中使用自定义 header 。我只是将主体(用户名)和凭据作为 url 参数附加到客户端应用程序的初始预验证“登录”请求中。由于两个应用程序之间的通信是通过 SSL 保护的，我认为这应该是安全的。

这是我的安全配置现在的样子:

<b:bean id="http403EntryPoint" class="org.springframework.security.web.authentication.Http403ForbiddenEntryPoint" />
<b:bean id="navigatorPreAuthFilter" class="com.example.NavigatorPreAuthenticatedProcessingFilter">
    <b:property name="authenticationManager" ref="authenticationManager" />
</b:bean>

<http auto-config="false" entry-point-ref="http403EntryPoint">

    <custom-filter position="PRE_AUTH_FILTER" ref="navigatorPreAuthFilter" />
    <session-management session-fixation-protection="newSession" />
    <logout logout-success-url="/logout" delete-cookies="JSESSIONID" />

    <intercept-url pattern="/index.jsp" access="ROLE_QUESTIONNAIRE_ASSIGNEE"/>
</http>

<b:bean id="preAuthenticatedUserDetailsService" class="com.example.NavigatorPreAuthenticatedUserDetailsService" />
<b:bean id="preauthAuthProvider" class="org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationProvider">
    <b:property name="preAuthenticatedUserDetailsService" ref="preAuthenticatedUserDetailsService" />
</b:bean>

<authentication-manager alias="authenticationManager">
    <authentication-provider ref="preauthAuthProvider"/>
</authentication-manager>