Spring Security: accesso all'attuale utente autenticato all'interno di un servlet Filtro

Question

Recentemente ho iniziato a conoscere Spring Security e oggi ho posto questa domanda fondamentale (credo): Perché non posso accedere al Principal corrente all'interno di un filtro Servlet come dimostrato nella classe di seguito:

package com.acme.test; 

import java.io.IOException; 

import javax.servlet.Filter; 
import javax.servlet.FilterChain; 
import javax.servlet.FilterConfig; 
import javax.servlet.ServletException; 
import javax.servlet.ServletRequest; 
import javax.servlet.ServletResponse; 

import org.springframework.security.core.Authentication; 
import org.springframework.security.core.context.SecurityContext; 
import org.springframework.security.core.context.SecurityContextHolder; 
import org.springframework.stereotype.Component; 

@Component 
public class TestFilter implements Filter { 

    /* 
    * (non-Javadoc) 
    * 
    * @see javax.servlet.Filter#init(javax.servlet.FilterConfig) 
    */ 
    @Override 
    public void init(FilterConfig filterConfig) throws ServletException { 
     // TODO Auto-generated method stub 

    } 

    /* 
    * (non-Javadoc) 
    * 
    * @see javax.servlet.Filter#doFilter(javax.servlet.ServletRequest, 
    * javax.servlet.ServletResponse, javax.servlet.FilterChain) 
    */ 
    @Override 
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) 
      throws IOException, ServletException { 

     SecurityContext securityContext = SecurityContextHolder.getContext(); 
     Authentication auth = securityContext.getAuthentication(); 

     // auth is null here 

     chain.doFilter(request, response); 
    } 

    /* 
    * (non-Javadoc) 
    * 
    * @see javax.servlet.Filter#destroy() 
    */ 
    @Override 
    public void destroy() { 
     // TODO Auto-generated method stub 

    } 

} 

scopo autenticazione recuperato con autenticazione auth = securityContext.getAuthentication(); è nullo. Mentre si utilizza lo snippet sopra riportato in un MVC @Controller funziona bene (come previsto).

Perché sta succedendo?

Answer 1

all'interno doFilter:

HttpServletRequest request = (HttpServletRequest) request; 
HttpSession session = request.getSession(false); 

SecurityContextImpl sci = (SecurityContextImpl) session.getAttribute("SPRING_SECURITY_CONTEXT"); 

if (sci != null) { 
     UserDetails cud = (UserDetails) sci.getAuthentication().getPrincipal(); 
     // do whatever you need here with the UserDetails 
} 

Spero che questo aiuti

Answer 2

È possibile vedere here, che per accedere a SecurityContext, il filtro di sicurezza deve venire prima.

Se ti stai chiedendo come farlo, dipende dal modo in cui hai configurato la tua applicazione web. Nel mio caso, sto usando Primavera-Boot, basata su Servlet-3 stile di configurazione, e la configurazione contesto Primavera in Java (senza XML) Quindi, la mia configurazione è simile al seguente:

@Configuration 
@EnableWebMvc 
@EnableWebMvcSecurity 
public class WebCtxConfig extends WebMvcConfigurerAdapter { 

    @Autowired 
    ApplicationContext ctx; 


    @Bean 
    FilterRegistrationBean springSecurityFilter() { 
     FilterChainProxy o = (FilterChainProxy) ctx 
       .getBean(AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME); 
     FilterRegistrationBean trVal = new FilterRegistrationBean(); 
     trVal.setFilter(o); 
     trVal.setOrder(FilterRegistrationBean.HIGHEST_PRECEDENCE + 1); 
     return trVal; 
    } 

    @Bean 
    public FilterRegistrationBean applicationContextIdFilter(final IThreadLifecycleManager threadLifecycleManager) { 
     FilterRegistrationBean retVal = new FilterRegistrationBean(); 
     YourFilter filter = new YourFilter(); 
     retVal.setFilter(filter); 
     retVal.setOrder(FilterRegistrationBean.HIGHEST_PRECEDENCE + 2); 
     return retVal; 
    } 
} 

Si noti che da impostando l'ordine, è possibile controllare l'ordine dei filtri.

Answer 3

La buona descrittore di deployment web.xml vecchia è un modo semplice per determinare l'ordine dei filtri. Dalla specifica Servlet 3.0: L'ordine del contenitore usa nella costruzione della catena di filtri da applicare per una particolare richiesta URI è il seguente:

1. Prima, il filtro corrispondente mapping nello stesso ordine in cui questi elementi vengono visualizzati nel descrittore di distribuzione.
2. Successivamente, i mapping dei filtri corrispondenti nello stesso ordine in cui questi elementi vengono visualizzati nel descrittore di distribuzione.

In breve, è necessario inserire il <filter-mapping> per voi filtro dopo quello per la sicurezza primavera.

anche dallo stesso documento specifica: Se l'ordine in cui gli ascoltatori, servlet, vengono richiamati filtri è importante per un'applicazione poi un descrittore di distribuzione deve essere utilizzato.

Answer 4

Le seguenti opere frammento e fornisce un esempio Principal:

@Override 
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) 
     throws IOException, ServletException { 
    HttpServletRequest req = (HttpServletRequest) request; 

    Principal principal = req.getUserPrincipal(); 

    if (principal != null) { 
     // do something with the Principal 
    } 

    chain.doFilter(request, response); 
}