tutorial - Spring Security 3.2: @Autowire no funciona con la configuración de Java y AuthenticationProvider personalizado en la aplicación Spring MVC?

userdetailsservice spring security 4

Question

Este problema se discute relativamente bien en varias publicaciones de blog y en preguntas de SO. Sin embargo, no pude encontrar uno que aborda específicamente el problema con la configuración de Java. Sospecho que estoy haciendo algo mal en mis archivos de configuración de Java, ya que he encontrado algunas publicaciones que indican que el problema se puede resolver eliminando la etiqueta XML de depuración ( https://jira.springsource.org/browse/ SEC-1885 ).

Estoy usando 3.2.0.RELEASE de seguridad de primavera, y 3.2.6.RELEASE de spring framework. Debajo de los archivos principales utilizados en la configuración spring security / mvc y el AuthenticationProvider personalizado.

WebConfig:

@Configuration
@EnableWebMvc
@ComponentScan(basePackages = {"com.mypackage"})
@ImportResource( { "classpath:/spring-data.xml", "classpath:/trace-context.xml" })
@EnableTransactionManagement
public class WebConfig extends WebMvcConfigurerAdapter {
@Override
public void addViewControllers(ViewControllerRegistry registry) {
registry.addViewController("/login").setViewName("login");
}
@Bean
public StandardServletMultipartResolver multipartResolver() {
return new StandardServletMultipartResolver();
}
@Bean(destroyMethod = "shutdown")
public GraphDatabaseService graphDatabaseService() {
return new GraphDatabaseFactory().newEmbeddedDatabase("target/temp.db");
}
@Bean
public RepositoryInitializer repositoryInitializer() {
return new RepositoryInitializer();
}
@Override
public void addResourceHandlers(ResourceHandlerRegistry registry) {
registry.addResourceHandler("/resources/**").addResourceLocations("/resources/");
}
@Override
public void addInterceptors(InterceptorRegistry registry) {
LocaleChangeInterceptor localeChangeInterceptor = new LocaleChangeInterceptor();
localeChangeInterceptor.setParamName("lang");
registry.addInterceptor(localeChangeInterceptor);
}
@Bean
public LocaleResolver localeResolver() {
CookieLocaleResolver cookieLocaleResolver = new CookieLocaleResolver();
cookieLocaleResolver.setDefaultLocale(StringUtils.parseLocaleString("en"));
return cookieLocaleResolver;
}
@Bean
public ViewResolver viewResolver() {
InternalResourceViewResolver viewResolver = new InternalResourceViewResolver();
viewResolver.setViewClass(JstlView.class);
viewResolver.setPrefix("/WEB-INF/views/");
viewResolver.setSuffix(".jsp");
return viewResolver;
}
@Bean
public MessageSource messageSource() {
ReloadableResourceBundleMessageSource messageSource = new ReloadableResourceBundleMessageSource();
messageSource.setBasenames("classpath:messages/messages", "classpath:messages/validation");
// if true, the key of the message will be displayed if the key is not
// found, instead of throwing a NoSuchMessageException
messageSource.setUseCodeAsDefaultMessage(true);
messageSource.setDefaultEncoding("UTF-8");
// # -1 : never reload, 0 always reload
messageSource.setCacheSeconds(0);
return messageSource;
}
}

WebInitializer:

public class WebInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {
@Override
protected Class<?>[] getRootConfigClasses() {
return new Class[] { WebSecurityConfig.class };
}
@Override
protected Class<?>[] getServletConfigClasses() {
return new Class<?>[] { WebConfig.class};
}
@Override
protected String[] getServletMappings() {
return new String[] { "/" };
}
@Override
protected Filter[] getServletFilters() {
CharacterEncodingFilter characterEncodingFilter = new CharacterEncodingFilter();
characterEncodingFilter.setEncoding("UTF-8");
return new Filter[] { characterEncodingFilter, new SiteMeshFilter()};
}
@Override
public void onStartup(ServletContext servletContext) throws ServletException {
super.onStartup(servletContext);
//servletContext.addListener(new HttpSessionEventPublisher());
}
}

WebSecurityConfig:

@Configuration
@EnableWebSecurity
@Order(1)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests().anyRequest().permitAll();
// .antMatchers("/", "/login").permitAll()
// .anyRequest().authenticated();
http
.formLogin()
.defaultSuccessUrl("/hello")
.loginPage("/login")
.permitAll()
.and()
.logout()
.logoutUrl("/logout")
.permitAll();
http
.sessionManagement()
.maximumSessions(1)
.maxSessionsPreventsLogin(true);
}
@Override
public void configure(WebSecurity web) throws Exception {
web
.ignoring()
.antMatchers("/resources/**");
}
@Override
protected void configure(AuthenticationManagerBuilder authManagerBuilder) throws Exception {
authManagerBuilder.authenticationProvider(new ApplicationAuthenticationProvider());
}
}

WebSecurityInitializer:

public class WebSecurityInitializer extends AbstractSecurityWebApplicationInitializer {
}

AuthenticationProvider:

@Component(value = "authenticationProvider")
public class ApplicationAuthenticationProvider implements AuthenticationProvider {
@Autowired
public UserService userService;
public ApplicationAuthenticationProvider() {}
@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
String username = authentication.getName();
String password = (String) authentication.getCredentials();
User user = userService.loadUserByUsername(username);
if (user == null) {
throw new BadCredentialsException("Username not found.");
}
if (!password.equals(user.getPassword())) {
throw new BadCredentialsException("Wrong password.");
}
Collection<? extends GrantedAuthority> authorities = user.getAuthorities();
return new UsernamePasswordAuthenticationToken(username, password, authorities);
}
@Override
public boolean supports(Class<?> arg0) {
return true;
}
}

UserService:

@Service
public class UserService implements UserDetailsService {
@Autowired
private UserRepository userRepository;
@Override
public User loadUserByUsername(String username) throws UsernameNotFoundException {
return userRepository.findByUsername(username);
}
}

Spring está lanzando una excepción mientras construye su contexto de aplicación (durante la inicialización de la aplicación):

[ERROR] [main 11:53:37] (FrameworkServlet.java:initServletBean:467) Context initialization failed
org.springframework.beans.factory.BeanCreationException: Error creating bean with name ''authenticationProvider'': Injection of autowired dependencies failed; nested exception is org.springframework.beans.factory.BeanCreationException: Could not autowire field: public com.evidencefactory.service.UserService com.evidencefactory.security.ApplicationAuthenticationProvider.userService; nested exception is java.lang.IllegalArgumentException: Can not set com.evidencefactory.service.UserService field com.evidencefactory.security.ApplicationAuthenticationProvider.userService to sun.proxy.$Proxy71

No entiendo por qué está sucediendo, pero si UserDetailsService implementación de la interfaz UserService clase UserService , la aplicación se iniciará correctamente. Sin embargo, cuando ApplicationAuthenticationProvider es invocado por Spring, el UserService no se conecta automáticamente y la aplicación lanza una NullPointerException.

java.lang.NullPointerException
at com.evidencefactory.security.ApplicationAuthenticationProvider.authenticate(ApplicationAuthenticationProvider.java:33)

Answer 1

Voy a suponer que UserService es una clase y tiene alguna anotación @Transactional en sí misma o en uno de sus métodos.

Deberá agregar CGLIB a su classpath y cambiar su @EnableTransactionManagement a

@EnableTransactionManagement(proxyTargetClass = true)

de modo que Spring utiliza el proxy CGLIB (que puede usar clases proxy) en lugar de los proxies JKD (que no pueden).

Alternativamente, puede crear una interfaz UserService e implementar (y anotar con @Service ) una clase UserServiceImpl . Su campo UserService UserService se mantendrá igual, pero Spring podrá usar proxies JDK.

Answer 2

Descubrí cómo ponerlo a funcionar, aunque todavía quedan algunos problemas sin respuesta.

1) Todavía no sé por qué la inicialización del contexto Spring falla cuando UserService implementa UserDetailsService . Dado que no veo uso para él, ya que estoy usando un AuthenticationProvider personalizado, acabo de eliminar esta implementación y las cosas están bien por ahora. A mi leal saber y entender (por lo que pude entender desde mi primera lectura inicial de la documentación de referencia de Spring Security), el proporcionar un AuthenticationProvider personalizado o una implementación de UserDetailsService son alternativas exclusivas.

2) Tal como lo notó uno de los encuestados (@Sotirios Delimanolis) estaba instanciando ApplicatinoAuthenticationProvider a mano y como no estaba siendo administrado por Spring, esta instancia no tendría una instancia de UserService UserService automáticamente. En base a esto, cambié WebSecurityConfig para obtener una instancia de ApplicationAuthenticationProvider autocableado como se puede ver a continuación:

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private ApplicationAuthenticationProvider authenticationProvider;
@Override
protected void configure(AuthenticationManagerBuilder authManagerBuilder) throws Exception {
authManagerBuilder.authenticationProvider(authenticationProvider);
}
}

Esto aún no era suficiente, porque ApplicationAuthenticationProvider no se estaba autoconectando en WebSecurityConfig . Basado en este enlace Spring Security 3.1.3 @Autowired not Work cuando se usa WebApplicationInitializer Noté que esto se debía a que la configuración de seguridad también debería tener una declaración de exploración de componentes. Agregar @ComponentScan(basePackages = {"com.mypackage"}) a WebSecurityConfig resolvió el problema.