37. Spring MVC Integration

Spring Security提供了许多与Spring MVC的可选集成。本节将更详细地介绍集成。

37.1 @EnableWebMvcSecurity

从Spring Security 4.0开始，不推荐使用@ EnableWebMvcSecurity。替换为@EnableWebSecurity，它将根据类路径来决定是否添加Spring MVC特性。

要启用与Spring MVC的Spring安全集成，请在您的配置中添加@EnableWebSecurity注释。

Spring Security使用Spring MVC的WebMvcConfigurerAdapter提供配置。这意味着，如果您使用更高级的选项，如直接与WebMvcConfigurationSupport集成，那么您将需要手动提供Spring安全性配置。

37.2 MvcRequestMatcher

Spring Security提供了与Spring MVC如何在URL上与MvcRequestMatcher匹配的深度集成。这有助于确保您的安全规则与用于处理您的请求的逻辑相匹配。

为了使用MvcRequestMatcher，您必须将Spring安全配置放在与您的DispatcherServlet相同的应用程序上下文中ApplicationContext 。这是必要的，因为Spring Security的MvcRequestMatcher期望一个名为mvcHandlerMappingIntrospector的HandlerMappingIntrosspector bean用于执行匹配的Spring MVC配置来注册。

对于web.xml，这意味着您应该将您的配置放在DispatcherServlet.xml中。

<listener>
  <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>

<!-- All Spring Configuration (both MVC and Security) are in /WEB-INF/spring/ -->
<context-param>
  <param-name>contextConfigLocation</param-name>
  <param-value>/WEB-INF/spring/*.xml</param-value>
</context-param>

<servlet>
  <servlet-name>spring</servlet-name>
  <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
  <!-- Load from the ContextLoaderListener -->
  <init-param>
    <param-name>contextConfigLocation</param-name>
    <param-value></param-value>
  </init-param>
</servlet>

<servlet-mapping>
  <servlet-name>spring</servlet-name>
  <url-pattern>/</url-pattern>
</servlet-mapping>

在WebSecurityConfiguration 下面，放在DispatcherServlets应用程序上下文中ApplicationContext。

public class SecurityInitializer extends
    AbstractAnnotationConfigDispatcherServletInitializer {

  @Override
  protected Class<?>[] getRootConfigClasses() {
    return null;
  }

  @Override
  protected Class<?>[] getServletConfigClasses() {
    return new Class[] { RootConfiguration.class,WebMvcConfiguration.class };
  }

  @Override
  protected String[] getServletMappings() {
    return new String[] { "/" };
  }
}

始终建议通过匹配HttpServletRequest和方法安全性来提供授权规则。 通过在HttpServletRequest上匹配来提供授权规则是很好的，因为它发生在代码路径的早期，有助于减少攻击面。方法安全性确保如果有人绕过了web授权规则，您的应用程序仍然是安全的。这就是所谓的纵深防御。

考虑一个映射如下的控制器:

@RequestMapping("/admin")
public String admin() {

如果我们希望将对该控制器方法的访问限制在管理员用户，开发人员可以通过在HttpServletRequest上匹配以下内容来提供授权规则:

protected configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin").hasRole("ADMIN");
}

或在xml

<http>
    <intercept-url pattern="/admin" access="hasRole('ADMIN')"/>
</http>

无论采用哪种配置，URL/admin都要求经过身份验证的用户是管理员用户。然而，根据我们的Spring MVC配置，URL /admin.html也将映射到我们的admin()方法。此外，根据我们的Spring MVC配置，URL /admin/也将映射到我们的admin()方法。

问题是我们的安全规则只是保护/admin。我们可以为Spring MVC的所有排列添加额外的规则，但是这会非常冗长和乏味。

相反，我们可以利用Spring Security的MvcRequestMatcher。以下配置将通过使用Spring MVC来匹配URL，从而保护Spring MVC将匹配的相同URL。

protected configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .mvcMatchers("/admin").hasRole("ADMIN");
}

或xml

<http request-matcher="mvc">
    <intercept-url pattern="/admin" access="hasRole('ADMIN')"/>
</http>

37.3 @AuthenticationPrincipal

Spring Security提供了AuthenticationPrincipalArgumentResolver，它可以为Spring MVC参数自动解析当前的Authentication.getPrincipal() 。通过使用@EnableWebSecurity，您将自动将它添加到您的Spring MVC配置中。如果您使用基于XML的配置，您必须自己添加。例如:

<mvc:annotation-driven>
        <mvc:argument-resolvers>
                <bean class="org.springframework.security.web.method.annotation.AuthenticationPrincipalArgumentResolver" />
        </mvc:argument-resolvers>
</mvc:annotation-driven>

一旦正确配置了AuthenticationPrincipalArgumentResolver，您就可以在您的Spring MVC层中与Spring Security完全分离。

考虑这样一种情况:自定义用户详细信息服务UserDetailsService 返回一个实现用户详细信息UserDetails的对象和您自己的自定义用户CustomUser 对象。可以使用以下代码访问当前经过身份验证的用户的自定义用户CustomUser :

@RequestMapping("/messages/inbox")
public ModelAndView findMessagesForUser() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    CustomUser custom = (CustomUser) authentication == null ? null : authentication.getPrincipal();

    // .. find messages for this user and return them ...
}

从Spring Security 3.2开始，我们可以通过添加注释来更直接地解决这个问题。例如:

import org.springframework.security.core.annotation.AuthenticationPrincipal;

// ...

@RequestMapping("/messages/inbox")
public ModelAndView findMessagesForUser(@AuthenticationPrincipal CustomUser customUser) {

    // .. find messages for this user and return them ...
}

有时可能有必要以某种方式改变主体。例如，如果CustomUser需要成为最终用户，它就不能被扩展。在这种情况下，用户详细信息服务UserDetailsService 可能会返回一个实现用户详细信息UserDetails的对象，并提供一个名为getCustomUser的方法来访问自定义用户CustomUser。例如，它可能看起来像:

public class CustomUserUserDetails extends User {
        // ...
        public CustomUser getCustomUser() {
                return customUser;
        }
}

然后，我们可以使用Authentication. getPrincipal()作为根对象的SpEL表达式来访问自定义用户CustomUser :

import org.springframework.security.core.annotation.AuthenticationPrincipal;

// ...

@RequestMapping("/messages/inbox")
public ModelAndView findMessagesForUser(@AuthenticationPrincipal(expression = "customUser") CustomUser customUser) {

    // .. find messags for this user and return them ...
}

我们也可以在我们的SpEL表达式中引用Beans。例如，如果我们使用JPA来管理我们的用户，并且我们想要修改和保存当前用户的属性，那么可以使用以下内容。

import org.springframework.security.core.annotation.AuthenticationPrincipal;

// ...

@PutMapping("/users/self")
public ModelAndView updateName(@AuthenticationPrincipal(expression = "@jpaEntityManager.merge(#this)") CustomUser attachedCustomUser,
        @RequestParam String firstName) {

    // change the firstName on an attached instance which will be persisted to the database
    attachedCustomUser.setFirstName(firstName);

    // ...
}

通过将@AuthenticationPrincipal作为我们自己的注释的元注释，我们可以进一步消除对Spring Security的依赖。下面我们演示如何在名为@CurrentUser的注释上实现这一点。

重要的是要认识到，为了消除对Spring Security的依赖，消费应用程序会创建@CurrentUser。这一步不是严格要求的，但是有助于将您对Spring Security的依赖隔离到一个更中心的位置。

@Target({ElementType.PARAMETER, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Documented
@AuthenticationPrincipal
public @interface CurrentUser {}

既然已经指定了@CurrentUser，我们就可以用它来发出信号，将我们的自定义用户CustomUser 解析为当前经过身份验证的用户。我们还将对Spring Security的依赖隔离到一个文件中。

@RequestMapping("/messages/inbox")
public ModelAndView findMessagesForUser(@CurrentUser CustomUser customUser) {

    // .. find messages for this user and return them ...
}

37.4 Spring MVC Async Integration

Spring Web MVC 3.2+对异步请求处理有很好的支持。在没有额外配置的情况下，Spring Security会自动将SecurityContext设置为执行控制器返回的可调用的线程。例如，以下方法将自动使用创建可调用文件时可用的安全上下文执行其可调用文件:

@RequestMapping(method=RequestMethod.POST)
public Callable<String> processUpload(final MultipartFile file) {

return new Callable<String>() {
    public Object call() throws Exception {
    // ...
    return "someView";
    }
};
}

从技术上讲，Spring Security与WebAsyncManager集成在一起。用于处理可调用的安全上下文SecurityContext 是在调用startCallableProcessing时存在于安全上下文持有者SecurityContextHolder上的安全上下文SecurityContext。

没有与控制器返回的延迟结果的自动集成。这是因为延迟结果是由用户处理的，因此无法自动与之集成。但是，您仍然可以使用并发支持来提供与Spring Security的透明集成。

37.5 Spring MVC and CSRF Integration

37.5.1 Automatic Token Inclusion

Spring Security将自动在使用Spring MVC表单标签的表单中包含CSRF令牌。例如，下面的JSP:

<jsp:root xmlns:jsp="http://java.sun.com/JSP/Page"
    xmlns:c="http://java.sun.com/jsp/jstl/core"
    xmlns:form="http://www.springframework.org/tags/form" version="2.0">
    <jsp:directive.page language="java" contentType="text/html" />
<html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en">
    <!-- ... -->

    <c:url var="logoutUrl" value="/logout"/>
    <form:form action="${logoutUrl}"
        method="post">
    <input type="submit"
        value="Log out" />
    <input type="hidden"
        name="${_csrf.parameterName}"
        value="${_csrf.token}"/>
    </form:form>

    <!-- ... -->
</html>
</jsp:root>

将输出类似如下的超文本标记语言:

<!-- ... -->

<form action="/context/logout" method="post">
<input type="submit" value="Log out"/>
<input type="hidden" name="_csrf" value="f81d4fae-7dec-11d0-a765-00a0c91e6bf6"/>
</form>

<!-- ... -->

37.5.2 Resolving the CsrfToken

Spring Security提供了CsrfTokenArgumentResolver，它可以自动为Spring MVC参数解析当前的CsrfToken。通过使用@EnableWebSecurity，您将自动将它添加到您的Spring MVC配置中。如果您使用基于XML的配置，您必须自己添加。

一旦正确配置了CsrfTokenArgumentResolver，就可以将CsrfToken公开给基于静态HTML的应用程序。

@RestController
public class CsrfController {

    @RequestMapping("/csrf")
    public CsrfToken csrf(CsrfToken token) {
        return token;
    }
}

对CsrfToken保密对其他域来说很重要。这意味着，如果您正在使用跨域共享(CORS)，您不应该向任何外部域公开CsrfToken。