这是我想要实现的:

我正在使用 Websphere，我想依靠容器来进行身份验证(使用 Kerberos+SPNEGO)。说到 Spring Security，我想依靠预认证，使用 LDAP 来检索用户详细信息(角色等)以进行授权检查。

这是我拥有的 Spring 应用程序上下文配置的一部分(试图只包括相关部分)

<s:global-method-security secured-annotations="enabled" pre-post-annotations="enabled" proxy-target-class="true" />

<bean id="springSecurityFilterChain" class="org.springframework.security.web.FilterChainProxy">
    <s:filter-chain-map path-type="ant">
        <s:filter-chain pattern="/**"
            filters="securityContextPersistenceFilter,preAuthenticatedFilter" />
    </s:filter-chain-map>
</bean>


<s:http use-expressions="true" create-session="stateless" auto-config="true">
<!--
    <s:http-basic />
-->
</s:http>

<bean id="securityContextPersistenceFilter" 
        class="org.springframework.security.web.context.SecurityContextPersistenceFilter">
    <property name='securityContextRepository'>
        <bean class='org.springframework.security.web.context.HttpSessionSecurityContextRepository'>
            <property name='allowSessionCreation' value='true' />
        </bean>
    </property>
</bean>


<bean id="preAuthenticatedFilter"
        class="org.springframework.security.web.authentication.preauth.j2ee.J2eePreAuthenticatedProcessingFilter">
    <property name="authenticationManager" ref="authenticationManager" />
</bean>

<s:authentication-manager alias="authenticationManager">
    <s:authentication-provider ref="preAuthenticatedAuthenticationProvider"   />
</s:authentication-manager>

<bean id="preAuthenticatedAuthenticationProvider" 
        class="org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationProvider">
    <property name="preAuthenticatedUserDetailsService" >
        <bean class="org.springframework.security.core.userdetails.UserDetailsByNameServiceWrapper" >
            <property name="userDetailsService" ref="userDetailsService" />
        </bean>
    </property>
</bean>


<bean id="userDetailsService" class="org.springframework.security.ldap.userdetails.LdapUserDetailsService" >
    <constructor-arg index="0" ref="ldapUserSearch"/>
    <constructor-arg index="1" ref="ldapAuthoritiesPopulator"/>
    <property name="userDetailsMapper" >
        <bean class="com.foo.MyUserDetailsMapper" />
    </property>
</bean>

<bean id="ldapContextSource"
    class="org.springframework.security.ldap.DefaultSpringSecurityContextSource">
    <!-- some setting skipped here -->
</bean>

<bean id="ldapUserSearch" class="org.springframework.security.ldap.search.FilterBasedLdapUserSearch">
    <!-- some setting skipped here -->
</bean>

<bean id="ldapAuthoritiesPopulator"
    class="org.springframework.security.ldap.userdetails.DefaultLdapAuthoritiesPopulator">
    <!-- some setting skipped here -->
</bean>

<bean id="ldapTemplate" class="org.springframework.ldap.core.simple.SimpleLdapTemplate">
    <constructor-arg ref="ldapContextSource" />
</bean>

它主要工作，我可以看到来自 LDAP 的自定义 UserDetailsMapper (com.foo.MyUserDetailsMapper) 的正确用户名和角色，并且在其中我正在返回一个新的 UserDetails 具有更新的角色。

问题是，在我的 Controller 中，当我尝试这样做时

SecurityContextHolder.getContext().getAuthentication()

它返回空值。 (在我更改为预身份验证之前，这是有效的)

有什么我遗漏的吗？

最佳答案

发现问题。抱歉，这主要是因为我自己的实现错误，这在问题本身中是不可见的。

我的自定义 UserDetails impl 错误地使 getEnabled() 返回 false。在 LdapAuthenticationProvider 中，它工作正常，因为没有检查用户状态。

但是，在 PreAuthenticatedAuthenticationProvider 中，默认情况下有一个 UserDetailsChecker 检查用户的状态，为此 getEnabled() 返回 false 将导致用户详细信息检查器静默失败，并导致身份验证未填充到 SecurityContext(即将该帐户视为未通过身份验证)

虽然这主要是我的实现问题，但我认为仍然值得留下来作为 LdapAuthenticationProvider 和 PreAuthenticatedAuthenticationProvider 区别的引用

关于java - Spring Security + LDAP 中的预认证，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/23383633/