Bảo mật mùa xuân Java - chặn url tên miền phụ cho thông tin đăng nhập khác nhau?

Question

Tôi có một ứng dụng với bảo mật mùa xuân được cài đặt và hoạt động tốt - hiện đang chạy hết số www.exampledomain.com.

Tôi hiện muốn mở rộng ứng dụng đang chạy ra khỏi tên miền phụ. Ví dụ: newapp.exampledomain.com.

Vấn đề duy nhất là cho các ứng dụng mới này người dùng cần phải đăng nhập. Vào mùa xuân nó là rất dễ dàng để đánh chặn các url qua <intercept-url pattern="/Admin/*" access="ROLE_GENERAL"/>

nhưng bạn sẽ làm gì khi bạn muốn chặn một tên miền phụ để đăng nhập? Ví dụ: những điều sau đây không phù hợp với tôi:

<intercept-url pattern="http://newapp.exampledomain.com/*" access="ROLE_GENERAL"/> 

Bất kỳ suy nghĩ nào về cách giải quyết vấn đề này?

Answer 1

Một tùy chọn là viết AccessDecisionVoter của riêng bạn mở rộng RoleVoter và thêm một kiểm tra bổ sung dựa trên tên máy chủ. Một cái gì đó như thế này:

public class MyVoter extends RoleVoter { 
    public int vote(Authentication authentication, 
       java.lang.Object object, 
       java.util.Collection<ConfigAttribute> attributes) { 
    FilterInvocation filterInvocation = (FilterInvocation) object; 
    HttpRequest request = filterInvocation.getHttpRequest(); 
    // get subdomain from request 
    String subdomain = getSubdomain(request); 
    if ("free".equals(subdomain)) { 
     return ACCESS_GRANTED; 
    } 
    else { 
     super.vote(authentication, object, attributes); 
    } 
    } 
} 

Sau đó dây lên cử tri của bạn:

<security:http auto-config="true" 
       use-expressions="true" 
       access-decision-manager-ref="accessDecisionManager"> 
... 
</security:http> 

<bean id="accessDecisionManager" 
     class="org.springframework.security.access.vote.UnanimousBased"> 
    <property name="decisionVoters"> 
     <list> 
      <bean class="com.acme.MyVoter" /> 
     </list> 
    </property> 
</bean> 

Nếu bạn muốn mang nó một bước xa hơn bạn cũng có thể viết riêng của bạn configuration attributes mà sẽ cho phép bạn loại bỏ các kiểm tra hostname hardcoded trong cử tri và làm điều gì đó như:

<intercept-url pattern="/Admin/*" access="ROLE_GENERAL" domain="free.acme.com" /> 

Answer 2

Trong cookie phiên, tên miền của bạn nên được đặt rõ ràng là exampledomain.com.

Máy chủ ứng dụng chịu trách nhiệm tạo cookie phiên (JSESSIONID) nhưng không phải là Bảo mật mùa xuân.

Tất cả những gì bạn phải làm là thông báo cho máy chủ ứng dụng của mình rằng bạn muốn luôn có cùng tên miền trong cookie.

Thêm vào web.xml của bạn:

<session-config> 
     <cookie-config> 
      <domain>exampledomain.com</domain> 
     </cookie-config> 
    </session-config>