java - ejemplo - spring rest jwt authentication example

Autenticación basada en token de seguridad de Spring

Question

Tengo una API de descanso en la que me estoy autentificando utilizando la autorización básica de seguridad Spring donde el cliente envía un nombre de usuario y una contraseña para cada solicitud. Ahora, quería implementar la autenticación basada en token donde enviaré un token en el encabezado de respuesta cuando el usuario se autentique al principio. Para solicitudes adicionales, el cliente puede incluir ese token en el encabezado que se usará para autenticar al usuario en los recursos. Tengo dos proveedores de autenticación tokenAuthenticationProvider y daoAuthenticationProvider

@Component
public class TokenAuthenticationProvider implements AuthenticationProvider {
@Autowired
private TokenAuthentcationService service;
@Override
public Authentication authenticate(final Authentication authentication) throws AuthenticationException {
final RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();
final HttpServletRequest request = ((ServletRequestAttributes) requestAttributes).getRequest();
final String token = request.getHeader(Constants.AUTH_HEADER_NAME);
final Token tokenObj = this.service.getToken(token);
final AuthenticationToken authToken = new AuthenticationToken(tokenObj);
return authToken;
}
@Override
public boolean supports(final Class<?> authentication) {
return AuthenticationToken.class.isAssignableFrom(authentication);
}
}

Y en daoAuthenticationProvider, estoy configurando userDetailsService y autentificando contra los detalles de inicio de sesión del usuario al obtenerlo de la base de datos (que funciona bien siempre y cuando el nombre de usuario y la contraseña se utilicen mediante Autorización: Basic bGllQXBpVXNlcjogN21wXidMQRRTTURtR04pag == como cabecera)

Pero cuando incluyo el token en el encabezado con X-AUTH-TOKEN (que es Constants.AUTH_HEADER_NAME), no se llama al tokenAuthenticationProvider. Estoy recibiendo error como

{"timestamp":1487626368308,"status":401,"error":"Unauthorized","message":"Full authentication is required to access this resource","path":"/find"}

Y aquí es cómo estoy agregando proveedores de autenticación.

 @Override
public void configure(final AuthenticationManagerBuilder auth) throws Exception {
final UsernamePasswordAuthenticationProvider daoProvider = new
UsernamePasswordAuthenticationProvider(this.service, this.passwordEncoder());
auth.authenticationProvider(this.tokenAuthenticationProvider);
auth.authenticationProvider(daoProvider);
} 

Sugiera cómo puedo implementar la autenticación basada en token sin dañar el comportamiento actual de la seguridad Spring.

Answer 1

Aquí es cómo pude implementar la autenticación basada en token y la autenticación básica

SpringSecurityConfig.java

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter
{
@Override
public void configure(final AuthenticationManagerBuilder auth) throws Exception
{
auth.userDetailsService(this.participantService).passwordEncoder(this.passwordEncoder());
}
@Override
protected void configure(final HttpSecurity http) throws Exception
{
//Implementing Token based authentication in this filter
final TokenAuthenticationFilter tokenFilter = new TokenAuthenticationFilter();
http.addFilterBefore(tokenFilter, BasicAuthenticationFilter.class);
//Creating token when basic authentication is successful and the same token can be used to authenticate for further requests
final CustomBasicAuthenticationFilter customBasicAuthFilter = new CustomBasicAuthenticationFilter(this.authenticationManager() );
http.addFilter(customBasicAuthFilter);
}
}

TokenAuthenticationFilter.java

 public class TokenAuthenticationFilter extends GenericFilterBean
{
@Override
public void doFilter(final ServletRequest request, final ServletResponse response, final FilterChain chain)
throws IOException, ServletException
{
final HttpServletRequest httpRequest = (HttpServletRequest)request;
//extract token from header
final String accessToken = httpRequest.getHeader("header-name");
if (null != accessToken) {
//get and check whether token is valid ( from DB or file wherever you are storing the token)
//Populate SecurityContextHolder by fetching relevant information using token
final User user = new User(
"username",
"password",
true,
true,
true,
true,
authorities);
final UsernamePasswordAuthenticationToken authentication =
new UsernamePasswordAuthenticationToken(user, null, user.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(authentication);
}
chain.doFilter(request, response);
}
}

CustomBasicAuthenticationFilter.java

@Component
public class CustomBasicAuthenticationFilter extends BasicAuthenticationFilter {
@Autowired
public CustomBasicAuthenticationFilter(final AuthenticationManager authenticationManager) {
super(authenticationManager);
}
@Override
protected void onSuccessfulAuthentication(final javax.servlet.http.HttpServletRequest request, final javax.servlet.http.HttpServletResponse response, final Authentication authResult) {
//Generate Token
//Save the token for the logged in user
//send token in the response
response.setHeader("header-name" , "token");
}
}

Como nuestro CustomBasicAuthenticationFilter se ha configurado y agregado como filtro a la seguridad de Spring,

Siempre que la autenticación básica sea exitosa, la solicitud será redirigida a onSuccessfulAuthentication donde establecemos el token y lo enviamos en la respuesta con algún encabezado "nombre de encabezado".

Si se envía "nombre de encabezado" para una solicitud adicional, la solicitud pasará por TokenAuthenticationFilter primero antes de intentar la autenticación básica.

Answer 2

Puede intentar configurar su token personalizado AuthenticationToken en su filtro de autenticación, por ejemplo:

public class AuthenticationFilter extends GenericFilterBean {
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
final String authTokenHeader = ((HttpServletRequest)request).getHeader(Constants.AUTH_HEADER_NAME);
if (authTokenHeader != null) {
SecurityContextHolder.getContext().setAuthentication(createAuthenticationToken(authTokenHeader));
}
chain.doFilter( request, response );
}
}