我想在基于 Apache-CXF 的 SOAP 应用程序中使用@RolesAllowed(或类似(注释。但是我不明白如何为此配置Spring Security。
我想从 SOAP 消息中的 XML 标头进行身份验证。
端点安全配置:
Map<String, Object> props = new HashMap<>();
props.put(WSHandlerConstants.ACTION, WSHandlerConstants.USERNAME_TOKEN);
props.put(WSHandlerConstants.PASSWORD_TYPE, WSConstants.PW_TEXT);
endpoint.getInInterceptors().add(new WSS4JInInterceptor(props));
endpoint.getProperties().put("ws-security.validate.token", false);
endpoint.getProperties().put("ws-security.ut.no-callbacks", true);
endpoint.getProperties().put("ws-security.ut.validator",
CredentialValidator.class.getName());
还尝试使用回调处理程序。相同的结果。
验证人:
public class CredentialValidator extends UsernameTokenValidator {
@Override
public Credential validate(Credential credential, RequestData data)
throws WSSecurityException {
String userName = credential.getUsernametoken().getName();
String password = credential.getUsernametoken().getPassword();
List<GrantedAuthority> authorities = new ArrayList<>();
authorities.add(new SimpleGrantedAuthority(Role.USER_ROLE));
PreAuthenticatedAuthenticationToken token = new
PreAuthenticatedAuthenticationToken(
userName,
password,
authorities);
SecurityContextHolder.getContext().setAuthentication(token);
}
}
弹簧安全配置:
@EnableWebSecurity
@EnableGlobalMethodSecurity(jsr250Enabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Bean
public BCryptPasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers(HttpMethod.POST, "/services/**")
.permitAll()
;
}
}
如果我在配置中使用 permitAll((,那么所有请求都会通过,但注释不起作用。如果我使用 authenticated((,那么在我的验证器工作之前我会得到"访问被拒绝"。
我在@WebService界面中使用@AllowedRoles注释。
您可以尝试使用 TokenFilter,而不是使用 CredentialValidator。您的 Spring 安全性配置应如下所示:
@EnableWebSecurity
@EnableGlobalMethodSecurity(jsr250Enabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Bean
public BCryptPasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers(HttpMethod.POST, "/services/**")
.authenticated()
.addFilterBefore(tokenFilterBean(), UsernamePasswordAuthenticationFilter.class);
}
@Bean
public TokenFilter tokenFilterBean() {
return new TokenFilter();
}
}
您可以在我的存储库中找到完整的工作项目:回购