Bảo mật mùa xuân - nhiều cấu hình - thêm LogoutHandler

Question

Tôi có một ứng dụng khởi động mùa xuân bằng cách sử dụng bảo mật mùa xuân. Cấu hình bảo mật được chia thành nhiều phiên bản WebSecurityConfigurerAdapter.

tôi có một nơi nào để cấu hình logout nói chung:

@Override 
protected void configure(HttpSecurity http) throws Exception { 

    // configure logout 
    http 
      .logout() 
      .logoutUrl("/logout") 
      .invalidateHttpSession(true) 
      .addLogoutHandler((request, response, authentication) -> { 
       System.out.println("logged out 1!"); 
      }) 
      .permitAll(); 

    // ... more security configuration, e.g. login, CSRF, rememberme 
} 

Và có một WebSecurityConfigurerAdapter, nơi tôi muốn làm gần như không có gì, ngoại trừ thêm một LogoutHandler:

@Override 
protected void configure(HttpSecurity http) throws Exception { 

    // configure logout 
    http 
      .logout() 
      .logoutUrl("/logout") 
      .addLogoutHandler((request, response, authentication) -> { 
       System.out.println("logged out 2!"); 
      }); 
} 

Cả configure() phương pháp được gọi là. Tuy nhiên, nếu tôi đăng xuất, chỉ có LogoutHandler đầu tiên được gọi. Việc thay đổi @Order của cả hai cấu hình sẽ không thay đổi kết quả.

Điều gì bị thiếu trong cấu hình của tôi?

Answer 1

Bạn nên giải quyết vấn đề này với CompositeLogoutHandler trên điểm cuối hoạt động /logout duy nhất của mình.

Bạn vẫn có thể giữ hai WebSecurityConfigurerAdapter 's như mong muốn, nhưng bạn sẽ được gắn kết lại các chức năng logout cho hai LogoutHandler s thành một hành động hợp duy nhất:

new CompositeLogoutHandler(loggedOutHandler1, loggedOutHandler2); 

Answer 2

Các keypoint là bạn nên tạo Ví dụ tách của AuthenticationManger.

Here is an sample for multiples WebSecurityAdapter

Answer 3

Khi bạn tạo một vài cấu hình an ninh mùa xuân Boot sẽ tạo ra một SecurityFilterChain riêng biệt cho mỗi người trong số họ. Xem WebSecurity:

@Override 
protected Filter performBuild() throws Exception { 
    // ... 
    for (SecurityBuilder<? extends SecurityFilterChain> securityFilterChainBuilder : securityFilterChainBuilders) { 
     securityFilterChains.add(securityFilterChainBuilder.build()); 
    } 
    // ... 
} 

Khi ứng dụng được đăng xuất yêu cầu FilterChainProxy sẽ trở lại chỉ có một SecurityFilterChain:

private List<Filter> getFilters(HttpServletRequest request) { 
    for (SecurityFilterChain chain : filterChains) { 
     // Only the first chain that matches logout request will be used: 
     if (chain.matches(request)) { 
      return chain.getFilters(); 
     } 
    } 

    return null; 
} 

Nếu bạn thực sự cần cấu hình bảo mật mô-đun tôi sẽ đề nghị để tạo ra một cấu hình bảo mật riêng biệt cho logout và cõi khác . Bạn có thể xác định xử lý logout như đậu (sử dụng @Bean chú thích) trong các lớp cấu hình khác nhau và thu thập những xử lý trong cấu hình logout:

WebSecurityLogoutConfiguration.java

@Configuration 
@Order(99) 
public class WebSecurityLogoutConfiguration extends WebSecurityConfigurerAdapter { 

    // ALL YOUR LOGOUT HANDLERS WILL BE IN THIS LIST 
    @Autowired 
    private List<LogoutHandler> logoutHandlers; 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     // configure only logout 
     http 
       .logout() 
       .logoutUrl("/logout") 
       .invalidateHttpSession(true) 
       // USE CompositeLogoutHandler 
       .addLogoutHandler(new CompositeLogoutHandler(logoutHandlers)); 
     http.csrf().disable(); // for demo purposes 
    } 
} 

WebSecurity1Configuration.java

@Configuration 
@Order(101) 
public class WebSecurity1Configuration extends WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     // ... more security configuration, e.g. login, CSRF, rememberme 
     http.authorizeRequests() 
       .antMatchers("/secured/**") 
       .authenticated(); 
    } 

    // LOGOUT HANDLER 1 
    @Bean 
    public LogoutHandler logoutHandler1() { 
     return (request, response, authentication) -> { 
      System.out.println("logged out 1!"); 
     }; 
    } 
} 

WebSecurity2Configuration.java

@Configuration 
@Order(102) 
public class WebSecurity2Configuration extends WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http.authorizeRequests() 
       .antMatchers("/api/**") 
       .permitAll(); 
    } 

    // LOGOUT HANDLER 2 
    @Bean 
    public LogoutHandler logoutHandler2() { 
     return (request, response, authentication) -> { 
      System.out.println("logged out 2!"); 
     }; 
    } 
}