|
对于最新的稳定版本，请使用 Spring Security 6.4.1！ |
Servlet API 集成
Servlet 2.5+ 集成
本节描述了 Spring Security 如何与 Servlet 2.5 规范集成。
HttpServletRequest.getRemoteUser（）
HttpServletRequest.getRemoteUser()返回SecurityContextHolder.getContext().getAuthentication().getName()，通常是当前用户名。如果要在应用程序中显示当前用户名，这可能很有用。
此外，您还可以检查此字段是否为 null，以确定用户是否已进行身份验证或匿名。
了解用户是否经过身份验证有助于确定是否应显示某些 UI 元素（例如，仅当用户经过身份验证时才应显示注销链接）。
HttpServletRequest.getUserPrincipal（）
HttpServletRequest.getUserPrincipal()返回SecurityContextHolder.getContext().getAuthentication().
这意味着它是一个Authentication，它通常是UsernamePasswordAuthenticationToken使用基于用户名和密码的身份验证时。
如果您需要有关用户的其他信息，这可能很有用。
例如，您可能已经创建了一个自定义UserDetailsService返回一个自定义的UserDetails包含用户的名字和姓氏。
您可以通过以下方式获取此信息：
-
Java
-
Kotlin
Authentication auth = httpServletRequest.getUserPrincipal();
// assume integrated custom UserDetails called MyCustomUserDetails
// by default, typically instance of UserDetails
MyCustomUserDetails userDetails = (MyCustomUserDetails) auth.getPrincipal();
String firstName = userDetails.getFirstName();
String lastName = userDetails.getLastName();val auth: Authentication = httpServletRequest.getUserPrincipal()
// assume integrated custom UserDetails called MyCustomUserDetails
// by default, typically instance of UserDetails
val userDetails: MyCustomUserDetails = auth.principal as MyCustomUserDetails
val firstName: String = userDetails.firstName
val lastName: String = userDetails.lastName|
应该注意的是，在整个应用程序中执行如此多的 logic 通常是不好的做法。 相反，应该将其集中以减少 Spring Security 和 Servlet API 的任何耦合。 |
HttpServletRequest.isUserInRole（字符串）
HttpServletRequest.isUserInRole(String)确定SecurityContextHolder.getContext().getAuthentication().getAuthorities()包含一个GrantedAuthority将角色传递到isUserInRole(String).
通常，用户不应将ROLE_前缀添加到此方法中，因为它是自动添加的。
例如，如果要确定当前用户是否具有“ROLE_ADMIN”权限，则可以使用以下内容：
-
Java
-
Kotlin
boolean isAdmin = httpServletRequest.isUserInRole("ADMIN");val isAdmin: Boolean = httpServletRequest.isUserInRole("ADMIN")这对于确定是否应显示某些 UI 组件可能很有用。 例如，只有当当前用户是管理员时，您才可以显示管理员链接。
Servlet 3+ 集成
以下部分描述了 Spring Security 与之集成的 Servlet 3 方法。
HttpServletRequest.authenticate（HttpServletRequest，HttpServletResponse）
您可以使用HttpServletRequest.authenticate(HttpServletRequest,HttpServletResponse)方法确保用户经过身份验证。
如果它们未经过身份验证，则配置的AuthenticationEntryPoint用于请求用户进行身份验证（重定向到登录页面）。
HttpServletRequest.login（字符串，字符串）
您可以使用HttpServletRequest.login(String,String)方法对用户进行身份验证，以使用当前的AuthenticationManager.
例如，以下将尝试使用用户名user和密码password:
-
Java
-
Kotlin
try {
httpServletRequest.login("user","password");
} catch(ServletException ex) {
// fail to authenticate
}try {
httpServletRequest.login("user", "password")
} catch (ex: ServletException) {
// fail to authenticate
}|
您无需抓住 |
HttpServletRequest.logout（）
您可以使用HttpServletRequest.logout()方法注销当前用户。
通常，这意味着SecurityContextHolder被清除，则HttpSession失效，则清除任何“记住我”身份验证，依此类推。
但是，配置的LogoutHandler实现会有所不同，具体取决于您的 Spring Security 配置。
请注意，在HttpServletRequest.logout()已被调用，您仍然负责写出响应。
通常，这将涉及重定向到欢迎页面。
AsyncContext.start（可运行）
这AsyncContext.start(Runnable)方法确保您的凭证传播到新的Thread.
通过使用 Spring Security 的并发支持，Spring Security 会覆盖AsyncContext.start(Runnable)以确保当前的SecurityContext在处理 Runnable 时使用。
以下示例输出当前用户的 Authentication：
-
Java
-
Kotlin
final AsyncContext async = httpServletRequest.startAsync();
async.start(new Runnable() {
public void run() {
Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
try {
final HttpServletResponse asyncResponse = (HttpServletResponse) async.getResponse();
asyncResponse.setStatus(HttpServletResponse.SC_OK);
asyncResponse.getWriter().write(String.valueOf(authentication));
async.complete();
} catch(Exception ex) {
throw new RuntimeException(ex);
}
}
});val async: AsyncContext = httpServletRequest.startAsync()
async.start {
val authentication: Authentication = SecurityContextHolder.getContext().authentication
try {
val asyncResponse = async.response as HttpServletResponse
asyncResponse.status = HttpServletResponse.SC_OK
asyncResponse.writer.write(String.valueOf(authentication))
async.complete()
} catch (ex: Exception) {
throw RuntimeException(ex)
}
}异步 Servlet 支持
如果您使用基于 Java 的配置，则可以开始了。
如果您使用 XML 配置，则需要进行一些更新。
第一步是确保您已更新了web.xml文件至少使用 3.0 架构：
<web-app xmlns="http://java.sun.com/xml/ns/javaee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://java.sun.com/xml/ns/javaee https://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
version="3.0">
</web-app>接下来，您需要确保您的springSecurityFilterChain设置为处理异步请求：
<filter>
<filter-name>springSecurityFilterChain</filter-name>
<filter-class>
org.springframework.web.filter.DelegatingFilterProxy
</filter-class>
<async-supported>true</async-supported>
</filter>
<filter-mapping>
<filter-name>springSecurityFilterChain</filter-name>
<url-pattern>/*</url-pattern>
<dispatcher>REQUEST</dispatcher>
<dispatcher>ASYNC</dispatcher>
</filter-mapping>现在，Spring Security 可确保您的SecurityContext也会在异步请求上传播。
那么它是如何工作的呢？如果您不是真的感兴趣，请随时跳过本节的其余部分
其中大部分都内置在 Servlet 规范中，但 Spring Security 会进行一些调整，以确保异步请求正常工作。
在 Spring Security 3.2 之前，SecurityContext从SecurityContextHolder一旦HttpServletResponse被承诺了。
这可能会导致异步环境中出现问题。
请考虑以下示例：
-
Java
-
Kotlin
httpServletRequest.startAsync();
new Thread("AsyncThread") {
@Override
public void run() {
try {
// Do work
TimeUnit.SECONDS.sleep(1);
// Write to and commit the httpServletResponse
httpServletResponse.getOutputStream().flush();
} catch (Exception ex) {
ex.printStackTrace();
}
}
}.start();httpServletRequest.startAsync()
object : Thread("AsyncThread") {
override fun run() {
try {
// Do work
TimeUnit.SECONDS.sleep(1)
// Write to and commit the httpServletResponse
httpServletResponse.outputStream.flush()
} catch (ex: java.lang.Exception) {
ex.printStackTrace()
}
}
}.start()问题是这个Thread不为 Spring Security 所知，因此SecurityContext不会传播到它。
这意味着，当我们提交HttpServletResponse，则没有SecurityContext.
当 Spring Security 自动保存SecurityContext在提交HttpServletResponse，则会丢失已登录的用户。
从版本 3.2 开始，Spring Security 已经足够智能，不再自动保存SecurityContext在提交HttpServletResponse一旦HttpServletRequest.startAsync()被调用。
Servlet 3.1+ 集成
以下部分描述了 Spring Security 与之集成的 Servlet 3.1 方法。
HttpServletRequest#changeSessionId（）
HttpServletRequest.changeSessionId（） 是 Servlet 3.1 及更高版本中防止会话固定攻击的默认方法。