3

我试图弄清楚如何让 Spring Security 为这个调用的匿名用户返回一个 UserDetails 对象：

SecurityContextHolder.getContext().getAuthentication().getPrincipal()

我知道，如果没有特殊配置，该调用将返回一个字符串，而不是您使用自定义 UserDetailsS​​ervice 实现创建的 UserDetails 对象，但我宁愿不要在任何地方不断检查“if(principal instanceof String)”。有没有办法用 Spring 配置来做到这一点 - 一种将匿名 UserDetails 对象存储在用户会话上下文中直到他们登录的方法？从表面上看，我希望每位客人都有一个唯一的匿名 UserDetails，这样我就可以使用它来跟踪个人使用情况。

我还注意到，我使用“PreAuthorize”注释保护的方法似乎不支持匿名用户的 hasRole 检查。我确信这是我做错了什么的症状。这是一个例子： 

@RequestMapping(value = "/almanac/new", method = RequestMethod.GET)
@PreAuthorize("hasRole('ROLE_ADMIN')")
public String newSetup(ModelMap model) {

这是我的 spring 安全上下文（除了封闭的 beans 节点之外完整）。您可以注意到我尝试启用“匿名”

<debug />
<http pattern="/js/**"  security="none" />
<http pattern="/css/**"  security="none" />
<http pattern="/images/**"  security="none" />
<http pattern="/loggedout.jsp" security="none"/>
<http name="httpSiteMap" use-expressions="true">
    <custom-filter ref="almanacUsrPwdAuthProcFilter" before="FORM_LOGIN_FILTER"/>
    <intercept-url pattern="/login*" access="isAnonymous()" />
    <intercept-url pattern="/home/**" access="hasRole('ROLE_USER')" />
    <intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />
    <intercept-url pattern="/**" access="isAnonymous()" />
    <form-login  login-page="/login.jsp"
                 default-target-url="/home.htm"
                 always-use-default-target="false" />
    <logout logout-success-url="/loggedout.jsp" delete-cookies="JSESSIONID"/>
    <session-management invalid-session-url="/timeout.jsp">
        <concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
    </session-management>
    <anonymous enabled="true" />
</http>

<global-method-security pre-post-annotations="enabled" secured-annotations="enabled" />

<authentication-manager alias="mainAuthMgr">
    <authentication-provider ref="almanacAuthenticationProvider"/>
</authentication-manager>

基于您在此处看到的代码的任何其他建议都将受到欢迎。

4

1 回答 1

4

您还没有真正详细说明要从UserDetails匿名用户中提取哪些数据。如果只想查看用户名，可以使用Authentication.getName().

在任何情况下，如果您需要更详细地访问安全上下文，最好使用自定义接口将您的应用程序代码与 Spring Security 类分离（请参阅我关于使用安全上下文访问器的回答）。这样，您应该只在一个地方检查主体的类型，而不是在要访问用户数据的“任何地方”重复检查。

如果您绝对希望在身份验证对象中始终具有相同的主体类型，无论用户是否是匿名的，那么您必须通过命名空间禁用匿名身份验证并添加一个自定义过滤器来完成这项工作，基于现有的AnonymousAuthenticationFilter.

于 2012-01-29T21:09:55.550 回答