Spring Security with Legacy Single Sign-On

Question

我在嘗試使用Spring Security來保護使用現有的新的Spring MVC應用程序時遇到了一些問題（閱讀：非常有效的「傳統」）單點登錄解決方案。

免責聲明：我對Spring相對比較熟悉，但對Spring Security一點也不熟悉;請原諒我的無知。

SSO服務的工作原理是這樣：

1. 用戶導航到他們所選擇的網絡應用程序：http://apps.myco.com/webapp123
2. 用戶沒有通過驗證，那麼他們將被重定向到http://sso.myco.com/login和提示登錄
3. 用戶通過附加到查詢字符串的令牌對其進行身份驗證並導回到應用程序：http://apps.myco.com/webapp123?token=ABCD1234
4. 在每個頁面加載（當前的JSP頁面），用戶的令牌從查詢字符串中拉出，然後發送通過SOAP回調到SSO服務來檢查令牌的有效性。 SSO服務爲令牌提供了大拇指或拇指向下的權利（如果令牌有效且仍然是當前的，則以拇指向上;否則，向下傾斜）
5. 如果令牌有效，則可以進行另一個SOAP調用以獲得用戶名，如果這是需要

SSO服務不處理授權的用戶憑證，以便對每個應用程序的基礎:(

據我瞭解，普遍接受的被處理這裏的做法是使用Spring Security的預認證框架，但是我（a）不確定在這個假設中我是否正確，並且（b）不確定我需要該解決方案附帶的所有東西。

目前，我已經定義了一個LoginUrlAuthenticationEntryPoint豆其引導未認證用戶的SSO網站：

<beans:bean id="customAuthenticationEntryPoint" class="org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint"> 
    <beans:constructor-arg value="http://sso.myco.com/login" /> 
</beans:bean> 

該入口點是有線了，像這樣：

<http use-expressions="true" entry-point-ref="customAuthenticationEntryPoint"> 
    <intercept-url pattern="/" access="permitAll" /> 
    <intercept-url pattern="/edit/**" access="isAuthenticated()" /> 
    <intercept-url pattern="/setup/**" access="hasRole('setup')" /> 
    <intercept-url pattern="/admin/**" access="hasRole('admin')" /> 
</http> 

對我來說，關鍵是在哪裏接收來自SSO服務的「回叫」。我希望有一個URL（例如，http://apps.myco.com/webapp123/auth?token=ABCD1234）接受來自SSO服務的重定向，驗證令牌並從SSO檢索用戶名，然後將所有信息保存在Spring Security上下文中。然而，我錯誤的道路上有一個很好的機會，或者我只是缺少一兩塊。

任何幫助或指導，非常感謝。

Answer 1

我會建議實施一個自定義的選民分配角色（設置，管理等）基於令牌的有效性和用戶的詳細信息。請參閱Voting-Based AccessDecisionManager Implementations和博客引用的有：SPRING SECURITY CUSTOMIZATION (PART 2 – ADJUSTING SECURED SESSION IN REAL TIME)

Answer 2

好了，所以這裏是我會做：

我會繼承AbstractAuthenticationProcessingFilter的AuthenticationManager會設置爲您在春季安全XML有線驗證管理器。你應該只需要重寫attemptAuthentication方法。此方法接受請求和響應對象，以允許訪問您的URL參數等。

如果認證成功，你只需要返回一個驗證對象和Spring安全應處理把用戶到上下文等

下面是文檔：

http://static.springsource.org/spring-security/site/docs/3.0.x/apidocs/org/springframework/security/web/authentication/AbstractAuthenticationProcessingFilter.html

希望這可以幫助！

編輯：

可能要看看怎樣的這直接子類是由Spring是的傢伙來實現，在這種情況下，UsernamePasswordAuthenticationFilter位於：

http://www.jarvana.com/jarvana/view/org/springframework/security/spring-security-web/3.0.5.RELEASE/spring-security-web-3.0.5.RELEASE-sources.jar!/org/springframework/security/web/authentication/UsernamePasswordAuthenticationFilter.java?format=ok