spring - 使用 x.509 身份验证时避免基本身份验证

Question

我已经创建了一个基于 Spring WebFlux 的 REST API，它通过 X.509 身份验证受到保护。我遵循了本指南 https://www.baeldung.com/x-509-authentication-in-spring-security创建所有证书。

路由器实现:

@Configuration
class LogRouter {

    @Bean
    fun functionalRoutes(handler: LogHandler): RouterFunction<ServerResponse> =
        route()
            .route(RequestPredicates.path("/")) {
                ServerResponse.ok().body(Mono.just("I am alive"))
            }
            .nest(RequestPredicates.path("/api").and(RequestPredicates.accept(MediaType.APPLICATION_JSON))) { builder ->
                builder.GET("/fn/mono", handler::monoMessage)
                    .POST("/fn/mono", handler::monoPostMessage)
            }
            .build()
}

和应用实现:

@SpringBootApplication
@EnableWebFluxSecurity
class RestplayApplication {

    @Bean
    fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain? {
        val principalExtractor = SubjectDnX509PrincipalExtractor()

        principalExtractor.setSubjectDnRegex("OU=(.*?)(?:,|$)")

        val authenticationManager = ReactiveAuthenticationManager { authentication: Authentication ->
            authentication.isAuthenticated = "Trusted Org Unit" == authentication.name
            Mono.just(authentication)
        }

        http
            .x509 { x509 ->
                x509
                    .principalExtractor(principalExtractor)
                    .authenticationManager(authenticationManager)
            }
            .authorizeExchange { exchanges ->
                exchanges
                    .anyExchange().authenticated()
            }
        return http.build()

    }
}

fun main(args: Array<String>) {
    runApplication<RestplayApplication>( *args)
}

我使用 Firefox 浏览器来测试 x.509 身份验证，并且我已将自签名证书(rootCA.crt) 添加到 Firefox:

包含客户端证书(clientBob.p12)。

在浏览器中调用链接时，它显示基本身份验证表单:

但是，我希望身份验证表单不会出现，因为我在浏览器中提供了有效的客户端证书。

为什么每次都出现基本形式？

代码托管在 https://github.com/softshipper/restplay 上.证书的密码始终是 changeit。

Answer 1

我调试了它，问题似乎是您的客户端证书 clientBob.crt 不包含主题的组织单位字段，并且您的 principalExtractor 设置为提取该字段。结果，您的 principalExtractor 失败，因此它调用 authenticationFailureHandler，默认设置为提示基本身份验证。

可能的解决方案可能是:

1. 使用包含主体组织单位的客户端证书，并将其设置为“受信任的组织单位”。

2. 更改 principalExtractor 正则表达式，使其使用不同的字段。默认使用通用名称 (CN)。如果你确实编辑了它，那么记得同时更新你的 authenticationManager 以检查“Bob”而不是“Trusted Org Unit”