如何在Spring Security中的用戶身份驗證期間訪問HttpServletRequest對象？

Question

我的應用程序的要求，我需要解析從HTTP請求的URL的一些信息，以驗證用戶。顯然，我只是不能使用UserDetailsS​​ervice的實現。

我的問題是，如何才能實現需要訪問HttpServletRequest的一個UserDetailsS​​ervice（或等同的認證方案）？

我的Spring Security版本3.0.7.RELEASE

Answer 1

有一個在Spring Security FAQ一個非常類似的問題。

你可以注入定製AuthenticationDetailsSource到認證過濾器來提取傳入的請求的其他相關信息。然後可以從提交的Authentication對象中獲取該信息，該定製對象爲AuthenticationProvider。

Answer 2

你需要做的servlet一個Spring bean描述here。

Answer 3

一個可能的解決方案是使用RequestContextFilter。您可以在web.xml將其定義爲在下面的代碼片段：

<filter> 
    <filter-name>requestContextFilter</filter-name> 
    <filter-class>org.springframework.web.filter.RequestContextFilter</filter-class> 
</filter> 

<filter-mapping> 
    <filter-name>requestContextFilter</filter-name> 
    <url-pattern>/*</url-pattern> 
</filter-mapping> 

<filter> 
    <filter-name>springSecurityFilterChain</filter-name> 
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> 
</filter> 

<filter-mapping> 
    <filter-name>springSecurityFilterChain</filter-name> 
    <url-pattern>/*</url-pattern> 
</filter-mapping> 

，或者如果你只需要它的一些安全問題，那麼更好的地方是把它放到春季安全配置文件，如在下面的例子中：

<?xml version="1.0" encoding="UTF-8"?> 
<beans:beans xmlns="http://www.springframework.org/schema/security" xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.1.xsd 
         http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.1.xsd"> 

    <http> 
    <custom-filter ref="requestContextFilter" before="FORM_LOGIN_FILTER"/> 
    <form-login login-page="/login" authentication-failure-url="/login?error=failed" /> 
    </http> 
    <beans:bean id="requestContextFilter" class="org.springframework.web.filter.RequestContextFilter"/> 

    <authentication-manager alias="authManager"> 
    <authentication-provider ref="authProvider" /> 
    </authentication-manager> 
    <beans:bean id="authProvider" class="my.company.CustomAuthProvider" /> 
</beans:beans> 

然後你可以使用RequestContextHolder.currentRequestAttributes()方法Spring Security的類。舉例如下：

public class CustomAuthProvider extends DaoAuthenticationProvider { 
    @Override 
    public Authentication authenticate(Authentication authentication) throws AuthenticationException { 
    ServletRequestAttributes attr = (ServletRequestAttributes) RequestContextHolder.currentRequestAttributes(); 
    System.err.println(attr.getRequest().getParameter("myParameterName")); 
    return super.authenticate(authentication); 
    } 
}