spring mvc - Spring Security sin web.xml

spring-mvc spring-security

Question

¿Cuál es la forma recomendada de agregar Spring Security a una aplicación web que utiliza la nueva interfaz WebApplicationInitializer en lugar del archivo web.xml? Estoy buscando el equivalente de:

<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>

ACTUALIZAR
Las respuestas proporcionadas son razonables, pero ambas asumen que tengo una instancia de servletContext . He revisado la jerarquía de WebApplicationInitializer s y no veo ningún acceso al contexto de servlet a menos que elija anular uno de los métodos de inicialización de Spring. AbstractDispatcherServletInitializer.registerServletFilter parece ser la opción sensata, pero no se establece de forma predeterminada en la asignación de patrones de URL y odiaría cambiar el registro del filtro para todo si hay una mejor manera.

Answer 1

Ante el mismo problema. Combine RootConfig y WebAppConfig, no es la mejor manera, porque no probé esta solución. Probé todas las demás soluciones - cada vez que obtuve "org.apache.catalina.core.StandardContext.startInternal Error filterStart". Después de algún trabajo, conseguí algo como esto:

    FilterRegistration.Dynamic enc= servletContext.addFilter("encodingFilter",
            new CharacterEncodingFilter());
    encodingFilter .setInitParameter("encoding", "UTF-8");
    encodingFilter .setInitParameter("forceEncoding", "true");
    encodingFilter .addMappingForUrlPatterns(null, true, "/*");

Pero no está trabajando con DelegatingFilterProxy (). Continuar buscando la mejor solución común para todos los filtros.

ACTUALIZACIÓN: lo hice.

Por lo tanto, el problema principal es: si desea agregar filtros usando java config, especialmente si desea agregar un filtro de seguridad, como DelegatingFilterProxy, entonces tiene que crear WebAppSecurityConfig:

@Configuration
@EnableWebSecurity
@ImportResource("classpath:security.xml")
public class WebAppSecurityConfig extends WebSecurityConfigurerAdapter {
}

En este caso, creo WebAppSecurityConfig y hago un recurso de importación ("security.xml"). Esto me permitió hacer eso en la clase Inicializador:

servletContext.addFilter("securityFilter", new DelegatingFilterProxy("springSecurityFilterChain"))
            .addMappingForUrlPatterns(null, false, "/*");

Answer 2

Después de un poco de trabajo, he descubierto que en realidad es bastante simple:

public class Initialiser extends AbstractAnnotationConfigDispatcherServletInitializer implements WebApplicationInitializer {

    @Override
    protected Class< ? >[] getRootConfigClasses() {
        return new Class[] { RootConfig.class };
    }

    @Override
    protected Class< ? >[] getServletConfigClasses() {
        return new Class[] { WebAppConfig.class };
    }

    @Override
    protected String[] getServletMappings() {
        return new String[] { "/" };
    }

    @Override
    protected Filter[] getServletFilters() {
        return new Filter[] { new DelegatingFilterProxy("springSecurityFilterChain") };
    }
}

Sin embargo, lo más importante es que debe tener un contexto raíz (por ejemplo, RootConfig en este caso), y que debe contener una referencia a toda la información de seguridad de Spring.

Por lo tanto, mi clase RootConfig :

@ImportResource("classpath:spring/securityContext.xml")
@ComponentScan({ "com.example.authentication", "com.example.config" })
@Configuration
public class RootConfig {

    @Bean
    public DatabaseService databaseService() {
        return new DefaultDatabaseService();
    }

    @Bean
    public ExceptionMappingAuthenticationFailureHandler authExceptionMapping() {
        final ExceptionMappingAuthenticationFailureHandler emafh = new ExceptionMappingAuthenticationFailureHandler();
        emafh.setDefaultFailureUrl("/loginFailed");
        final Map<String, String> mappings = new HashMap<>();
        mappings.put(CredentialsExpiredException.class.getCanonicalName(), "/change_password");
        emafh.setExceptionMappings(mappings);
        return emafh;
    }
}

Y spring/securityContext.xml :

<?xml version="1.0" encoding="UTF-8"?>
<beans  xmlns="http://www.springframework.org/schema/beans"
        xmlns:security="http://www.springframework.org/schema/security"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
        xmlns:context="http://www.springframework.org/schema/context"
        xsi:noNamespaceSchemaLocation="http://www.springframework.org/schema/beans/spring-beans-3.0.xsd"
        xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.2.xsd
            http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.1.xsd
            http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context-3.2.xsd">

    <security:http security="none" pattern="/favicon.ico"/>

    <!-- Secured pages -->
    <security:http use-expressions="true">
        <security:intercept-url pattern="/login" access="permitAll" />
        <security:intercept-url pattern="/**" access="isAuthenticated()" />
        <security:form-login default-target-url="/index" login-processing-url="/login_form" login-page="/login" authentication-failure-handler-ref="authExceptionMapping" />
    </security:http>

    <security:authentication-manager>
        <security:authentication-provider ref="customAuthProvider" />
    </security:authentication-manager>
</beans>

No podía hacer que funcionara si fusionaba las clases RootConfig y WebAppConfig en solo WebAppConfig y tenía lo siguiente:

@Override
protected Class< ? >[] getRootConfigClasses() {
    return null;
}

@Override
protected Class< ? >[] getServletConfigClasses() {
    return new Class[] { WebAppConfig.class };
}

Answer 3

Esta es la forma en que lo he hecho:

container.addFilter("springSecurityFilterChain", new DelegatingFilterProxy("springSecurityFilterChain"))
                    .addMappingForUrlPatterns(null, false, "/*");

contenedor es una instancia de ServletContext

Answer 4

Esto está relacionado con aquellos interesados ​​en Spring Boot con seguridad: no necesita nada, Spring Boot toma los @components y resuelve los otros problemas.

Answer 5

Spring Security Reference responde a esta pregunta y la solución depende de si está utilizando Spring Security junto con Spring o Spring MVC.

Usando Spring Security sin Spring o Spring MVC

Si no está utilizando Spring Security con Spring o Spring MVC (es decir, no tiene un WebApplicationInitializer existente), debe proporcionar la siguiente clase adicional:

import org.springframework.security.web.context.*;

public class SecurityWebApplicationInitializer
    extends AbstractSecurityWebApplicationInitializer {

    public SecurityWebApplicationInitializer() {
        super(SecurityConfig.class);
    }
}

Donde SecurityConfig es su clase de configuración de Spring Security Java.

Usando Spring Security con Spring o Spring MVC

Si está utilizando Spring Security con Spring o Spring MVC (es decir, tiene un WebApplicationInitializer existente), primero debe proporcionar la siguiente clase adicional:

import org.springframework.security.web.context.*;

public class SecurityWebApplicationInitializer
    extends AbstractSecurityWebApplicationInitializer {
}

Luego, debe asegurarse de que su clase de configuración de Spring Security Java, SecurityConfig en este ejemplo, se declare en su WebApplicationInitializer Spring o Spring MVC existente. Por ejemplo:

import org.springframework.web.servlet.support.*;

public class MvcWebApplicationInitializer
    extends AbstractAnnotationConfigDispatcherServletInitializer {

    @Override
    protected Class<?>[] getRootConfigClasses() {
        return new Class[] {SecurityConfig.class};
    }

    // ... other overrides ...
}

Answer 6

public class SIServerSecurityWebApplicationInitializer extends AbstractSecurityWebApplicationInitializer {

    @Override
    protected void beforeSpringSecurityFilterChain(ServletContext servletContext) {
        Dynamic registration = servletContext.addFilter("TenantServletFilter", TenantServletFilter.class);
        EnumSet<DispatcherType> dispatcherTypes = getSecurityDispatcherTypes();
        registration.addMappingForUrlPatterns(EnumSet.of(DispatcherType.REQUEST), false, "/*");
    }

}

Este escenario es para ejecutar un filtro antes de ejecutar otros filtros. Si desea ejecutar un filtro después de que otros archivadores pasen true en registration.addMappingForUrlPatterns(EnumSet.of(DispatcherType.REQUEST), true, "/*"); . También puedes ver el DispatcherType ASYNC, FORWARD, etc.

Answer 7

Dynamic securityFilter = servletContext.addFilter(AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME, DelegatingFilterProxy.class);
securityFilter.addMappingForUrlPatterns(EnumSet.allOf(DispatcherType.class), false, "/*");

EnumSet.allOf (DispatcherType.class) para asegurarse de que agrega una asignación no solo para el DispatcherType.REQUEST predeterminado, sino también para DispatcherType.FORWARD , etc.