spring-security - Spring 安全: IP Address Whitelist Before Deferring to HTTP Basic Auth

Question

我有一个可通过servlet访问的URL，该servlet是使用Spring Security的DaoAuthenticationProvider锁定的。我现在要求某些传入IP地址必须列入白名单，因此不要求进行身份验证。

如果IP地址与已知IP地址匹配，我可以通过重写DaoAuthenticationProvider的authenticate方法并绕过父类(super class)的实现来轻松解决这个问题，但这仅在请求的发送者提供用户名和密码时才有效(即使是无用的)。否则，不会调用提供程序。

最好的方法是什么？如果传入已知IP地址，是否应该使用过滤器绕过身份验证过程？

Answer 1

我认为，Spring Security的惯用方式是实现预身份验证过滤器，当客户端在白名单中时，该过滤器将使用有效的Authentication对象填充安全上下文。您可以从头开始实现这样的过滤器(例如as here)，也可以使用 AbstractPreAuthenticatedProcessingFilter (尽管对于您的任务来说似乎过于复杂)。