java - 在 AuthenticationSuccessHandler 中添加权限

Question

我正在使用 Spring MVC 网站并通过 LDAP 添加 Active Directory 身份验证。该公司不想使用 AD 权限来映射网站的权限，我们有一个列出每个用户权限的数据库，所以我试图连接到该数据库，获取权限，并将它们添加到用户的身份验证 token 中。

当我第一次开始时，我使用 GrantedAuthoritiesMapper 映射 AD 用户组的权限。我有那个工作。它看起来像这样:

public class ActiveDirectoryGrantedAuthoritiesMapper implements GrantedAuthoritiesMapper {

    private static final String ROLE_ADMIN = "adminUserGroup";

    public ActiveDirectoryGrantedAuthoritiesMapper()
    { }

    public Collection<? extends GrantedAuthority> mapAuthorities(
            final Collection<? extends GrantedAuthority> authorities)
    {

        Set<CustomAuthority> roles = EnumSet.noneOf(CustomAuthority.class);

        for (GrantedAuthority authority : authorities)
        {
            if (ROLE_ADMIN.equals(authority.getAuthority()))
            {
                roles.add(CustomAuthority.ROLE_ADMIN);
            }
            //Default role for all users.
            roles.add(CustomAuthority.ROLE_EMPLOYEE);
        }
        return roles;
    }
}

现在我正在尝试将其转换为查询我们的数据库以获得权限。我搬离了 GrantedAuthoritiesMapper这样做有两个原因。首先，我没有使用来自 LDAP 的权限，那么为什么还要拦截它们呢？也因为我不知道如何在 GrantedAuthoritiesMapper 中获取登录用户的名称。 .我尝试使用 SecurityContext但它给了我一个 NullPointerException每当我尝试调用 context.getAuthentication().getName()我假设是因为用户尚未完全通过身份验证。

所以我改用 AuthenticationSuccessHandler .我试图保持逻辑几乎相同。我正在尝试使用 authentication.getAuthorities().add(...); 将角色添加到用户的身份验证 token 中但我收到了我的 CustomAuthority 的错误不扩展 GrantedAuthority .它没有扩展它，但它实现了接口(interface)。我想知道这是否是因为它是一个枚举，所以我将它更改为一个类，但我仍然收到错误。这是自定义 AuthenticationSuccessHandler 的代码正如我现在所拥有的:

public class CustomAuthoritiesMapper implements AuthenticationSuccessHandler 
{
    private CustomPermissionDAO permissionsDao = new CustomPermissionDAO();

    private static final String ROLE_ADMIN = "ADMIN_ACCOUNT";

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication)
            throws IOException, ServletException
    {
        List<GrantedAuthority> roles = new ArrayList<GrantedAuthority>();

        List<DatabasePermission> permissionsForUser = permissionsDao.getPermissionByUsername(authentication.getName());

        for (DatabasePermission permission : permissionsForUser)
        {
            if (ROLE_ADMIN.equals( permission.getTag() ))
            {
                roles.add(new CustomAuthority("ROLE_ADMIN"));
            }
            //Default role for all users.
            roles.add(new DashboardAuthority("ROLE_EMPLOYEE"));
        }
        for(GrantedAuthority auth : roles)
        {
            authentication.getAuthorities().add(auth);
        }
    }
}

我已经尝试了几乎所有我能想到的所有组合。我已经更改了 List<GrantedAuthority>到 CustomAuthority 对象的列表。我试过使用 addAll(roles)而不是添加单独的..每次我得到同样的错误的一些变化:

Collection 类型中的方法 add(capture#1-of ? extends GrantedAuthority) 不适用于参数(GrantedAuthority)

和 CustomAuthority 代码:

public class CustomAuthority implements GrantedAuthority
{
    private String name;

    public CustomAuthority(String name)
    {
        this.name = name;
    }

    public String getAuthority() {
        return name;
    }
}

任何帮助将非常感激。

从查看“相关问题”来看，authentication.getName() 在这里可能不起作用，但我想弄清楚为什么在解决该问题之前我不能将我想要添加到用户权限的权限添加到用户权限中。

Answer 1

这不是您原始问题的回答。这是一个关于如何以另一种方式完成的命题。

对我来说看起来不寻常的是您使用 AuthenticationSuccessHandler对于应该由AuthenticationManager 完成的事情和 AuthenticationProviders .想象两个 AuthenticationProviders ，一个用于 LDAP，一个用于 DB。问题是如果你通过默认 AuthenticationManager 组合它们那么只有第一个提供者将被使用。您可以准备一个自定义AuthenticationManager逻辑略有不同:

它知道两个提供商

它以正确的顺序调用它们

它将来自两个提供商的两个身份验证结果合并为一个全局结果，从 LDAP 获取用户凭据，从 DB 获取权限。

缺点:想要添加第三个身份验证提供程序的新开发人员可能会对自定义 AuthenticationManager 感到惊讶.

优点:我认为代码将适合在正确的地方。

希望这可以帮助。