Saat menggunakan Spring Security, apa cara yang tepat untuk mendapatkan informasi nama pengguna saat ini (yaitu SecurityContext) dalam sebuah kacang?

Saya memiliki aplikasi web Spring MVC yang menggunakan Spring Security. Saya ingin tahu nama pengguna pengguna yang saat ini masuk. Saya menggunakan cuplikan kode yang diberikan di bawah ini. Apakah ini cara yang diterima?

Saya tidak suka memiliki panggilan ke metode statis di dalam controller ini - yang mengalahkan seluruh tujuan Spring, IMHO. Apakah ada cara untuk mengkonfigurasi aplikasi agar SecurityContext saat ini, atau Otentikasi saat ini, disuntikkan sebagai gantinya?

  @RequestMapping(method = RequestMethod.GET)
  public ModelAndView showResults(final HttpServletRequest request...) {
    final String currentUser = SecurityContextHolder.getContext().getAuthentication().getName();
    ...
  }

Jika Anda menggunakan Spring 3 , cara termudah adalah:

 @RequestMapping(method = RequestMethod.GET)   
 public ModelAndView showResults(final HttpServletRequest request, Principal principal) {

     final String currentUser = principal.getName();

 }

Banyak yang telah berubah di dunia Musim Semi sejak pertanyaan ini dijawab. Spring telah menyederhanakan mendapatkan pengguna saat ini di controller. Untuk kacang lainnya, Spring telah mengadopsi saran dari penulis dan menyederhanakan injeksi 'SecurityContextHolder'. Lebih detail ada di komentar.

Ini adalah solusi yang akhirnya saya pakai. Alih-alih menggunakan SecurityContextHolderdi controller saya, saya ingin menyuntikkan sesuatu yang menggunakan di SecurityContextHolderbawah tenda tetapi abstrak jauh seperti kelas singleton dari kode saya. Saya tidak menemukan cara untuk melakukan ini selain memutar antarmuka saya sendiri, seperti:

public interface SecurityContextFacade {

  SecurityContext getContext();

  void setContext(SecurityContext securityContext);

}

Sekarang, controller saya (atau POJO apa pun) akan terlihat seperti ini:

public class FooController {

  private final SecurityContextFacade securityContextFacade;

  public FooController(SecurityContextFacade securityContextFacade) {
    this.securityContextFacade = securityContextFacade;
  }

  public void doSomething(){
    SecurityContext context = securityContextFacade.getContext();
    // do something w/ context
  }

}

Dan, karena antarmuka menjadi titik decoupling, pengujian unit mudah. Dalam contoh ini saya menggunakan Mockito:

public class FooControllerTest {

  private FooController controller;
  private SecurityContextFacade mockSecurityContextFacade;
  private SecurityContext mockSecurityContext;

  @Before
  public void setUp() throws Exception {
    mockSecurityContextFacade = mock(SecurityContextFacade.class);
    mockSecurityContext = mock(SecurityContext.class);
    stub(mockSecurityContextFacade.getContext()).toReturn(mockSecurityContext);
    controller = new FooController(mockSecurityContextFacade);
  }

  @Test
  public void testDoSomething() {
    controller.doSomething();
    verify(mockSecurityContextFacade).getContext();
  }

}

Implementasi default antarmuka terlihat seperti ini:

public class SecurityContextHolderFacade implements SecurityContextFacade {

  public SecurityContext getContext() {
    return SecurityContextHolder.getContext();
  }

  public void setContext(SecurityContext securityContext) {
    SecurityContextHolder.setContext(securityContext);
  }

}

Dan, akhirnya, konfigurasi Spring produksi terlihat seperti ini:

<bean id="myController" class="com.foo.FooController">
     ...
  <constructor-arg index="1">
    <bean class="com.foo.SecurityContextHolderFacade">
  </constructor-arg>
</bean>

Tampaknya lebih dari sedikit konyol bahwa Spring, wadah injeksi ketergantungan dari semua hal, belum menyediakan cara untuk menyuntikkan sesuatu yang serupa. Saya mengerti SecurityContextHolderdiwarisi dari acegi, tapi tetap saja. Masalahnya, mereka sangat dekat - jika hanya SecurityContextHoldermemiliki pengambil untuk mendapatkan SecurityContextHolderStrategycontoh yang mendasarinya (yang merupakan antarmuka), Anda bisa menyuntikkan itu. Bahkan, saya bahkan membuka masalah Jira untuk efek itu.

Satu hal terakhir - Saya baru saja mengubah jawaban yang saya miliki di sini sebelumnya. Periksa riwayatnya jika Anda penasaran, tetapi, seperti yang ditunjukkan oleh seorang rekan kerja kepada saya, jawaban saya sebelumnya tidak akan berfungsi di lingkungan multi-utas. Yang mendasari yang SecurityContextHolderStrategydigunakan oleh SecurityContextHolderadalah, secara default, instance dari ThreadLocalSecurityContextHolderStrategy, yang menyimpan SecurityContexts dalam ThreadLocal. Oleh karena itu, tidak selalu merupakan ide yang baik untuk menyuntikkan SecurityContextlangsung ke dalam kacang pada waktu inisialisasi - mungkin perlu diambil dari ThreadLocalsetiap waktu, dalam lingkungan multi-threaded, sehingga yang benar diambil.

Saya setuju bahwa harus meminta SecurityContext untuk pengguna saat ini bau, tampaknya cara yang sangat un-Spring untuk menangani masalah ini.

Saya menulis kelas "pembantu" statis untuk menangani masalah ini; itu kotor karena itu adalah metode global dan statis, tapi saya pikir cara ini jika kita mengubah apa pun yang terkait dengan Keamanan, setidaknya saya hanya perlu mengubah detail di satu tempat:

/**
* Returns the domain User object for the currently logged in user, or null
* if no User is logged in.
* 
* @return User object for the currently logged in user, or null if no User
*         is logged in.
*/
public static User getCurrentUser() {

    Object principal = SecurityContextHolder.getContext().getAuthentication().getPrincipal()

    if (principal instanceof MyUserDetails) return ((MyUserDetails) principal).getUser();

    // principal object is either null or represents anonymous user -
    // neither of which our domain User object can represent - so return null
    return null;
}


/**
 * Utility method to determine if the current user is logged in /
 * authenticated.
 * <p>
 * Equivalent of calling:
 * <p>
 * <code>getCurrentUser() != null</code>
 * 
 * @return if user is logged in
 */
public static boolean isLoggedIn() {
    return getCurrentUser() != null;
}

Untuk membuatnya hanya muncul di halaman JSP Anda, Anda dapat menggunakan Spring Security Tag Lib:

http://static.springsource.org/spring-security/site/docs/3.0.x/reference/taglibs.html

Untuk menggunakan salah satu tag, Anda harus mendeklarasikan taglib keamanan di JSP Anda:

<%@ taglib prefix="security" uri="http://www.springframework.org/security/tags" %>

Kemudian di halaman jsp lakukan sesuatu seperti ini:

<security:authorize access="isAuthenticated()">
    logged in as <security:authentication property="principal.username" /> 
</security:authorize>

<security:authorize access="! isAuthenticated()">
    not logged in
</security:authorize>

CATATAN: Seperti yang disebutkan dalam komentar oleh @ SBerg413, Anda harus menambahkan

use-expressions = "true"

ke tag "http" di konfigurasi security.xml agar ini berfungsi.

Jika Anda menggunakan Spring Security ver> = 3.2, Anda dapat menggunakan @AuthenticationPrincipalanotasi:

@RequestMapping(method = RequestMethod.GET)
public ModelAndView showResults(@AuthenticationPrincipal CustomUser currentUser, HttpServletRequest request) {
    String currentUsername = currentUser.getUsername();
    // ...
}

Di sini, CustomUseradalah objek kustom yang mengimplementasikan UserDetailsyang dikembalikan oleh kebiasaan UserDetailsService.

Informasi lebih lanjut dapat ditemukan di bab @AuthenticationPrincipal dari dokumen referensi Spring Security.

Saya mendapatkan pengguna terotentikasi oleh HttpServletRequest.getUserPrincipal ();

Contoh:

import javax.servlet.http.HttpServletRequest;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.web.authentication.preauth.RequestHeaderAuthenticationFilter;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;
import org.springframework.web.servlet.support.RequestContext;

import foo.Form;

@Controller
@RequestMapping(value="/welcome")
public class IndexController {

    @RequestMapping(method=RequestMethod.GET)
    public String getCreateForm(Model model, HttpServletRequest request) {

        if(request.getUserPrincipal() != null) {
            String loginName = request.getUserPrincipal().getName();
            System.out.println("loginName : " + loginName );
        }

        model.addAttribute("form", new Form());
        return "welcome";
    }
}

Di Musim Semi 3+ Anda memiliki opsi berikut.

Pilihan 1 :

@RequestMapping(method = RequestMethod.GET)    
public String currentUserNameByPrincipal(Principal principal) {
    return principal.getName();
}

Pilihan 2 :

@RequestMapping(method = RequestMethod.GET)
public String currentUserNameByAuthentication(Authentication authentication) {
    return authentication.getName();
}

Opsi 3:

@RequestMapping(method = RequestMethod.GET)    
public String currentUserByHTTPRequest(HttpServletRequest request) {
    return request.getUserPrincipal().getName();

}

Opsi 4: Fancy satu: Lihat ini untuk lebih jelasnya

public ModelAndView someRequestHandler(@ActiveUser User activeUser) {
  ...
}

Ya, statika umumnya buruk - umumnya, tetapi dalam kasus ini, statis adalah kode paling aman yang dapat Anda tulis. Karena konteks keamanan mengaitkan Principal dengan utas yang saat ini berjalan, kode yang paling aman akan mengakses statis dari utas secara langsung. Menyembunyikan akses di belakang kelas pembungkus yang disuntikkan memberikan penyerang poin lebih banyak untuk diserang. Mereka tidak memerlukan akses ke kode (yang akan sulit diubah jika toples ditandatangani), mereka hanya perlu cara untuk mengesampingkan konfigurasi, yang dapat dilakukan saat runtime atau memasukkan beberapa XML ke classpath. Bahkan menggunakan injeksi anotasi dalam kode yang ditandatangani akan ditimpa dengan XML eksternal. XML semacam itu dapat menyuntikkan sistem yang sedang berjalan dengan prinsip jahat.

Saya hanya akan melakukan ini:

request.getRemoteUser();

Untuk aplikasi Spring MVC terakhir yang saya tulis, saya tidak menyuntikkan pemegang SecurityContext, tetapi saya memang memiliki basis controller yang saya punya dua metode utilitas yang terkait dengan ini ... isAuthenticated () & getUsername (). Secara internal mereka melakukan panggilan metode statis yang Anda jelaskan.

Setidaknya itu hanya di satu tempat jika Anda perlu refactor nanti.

Anda bisa menggunakan pendekatan Spring AOP. Misalnya jika Anda memiliki beberapa layanan, yang perlu diketahui kepala sekolah saat ini. Anda dapat memperkenalkan anotasi khusus yaitu @Principal, yang menunjukkan bahwa Layanan ini harus bergantung pada prinsipal.

public class SomeService {
    private String principal;
    @Principal
    public setPrincipal(String principal){
        this.principal=principal;
    }
}

Kemudian dalam saran Anda, yang saya pikir perlu memperpanjang MethodBeforeAdvice, periksa bahwa layanan tertentu memiliki penjelasan @Principal dan menyuntikkan nama Prinsipal, atau setel ke 'ANONIM' sebagai gantinya.

Satu-satunya masalah adalah bahwa bahkan setelah diautentikasi dengan Spring Security, pengguna / pengguna kacang tidak ada dalam wadah, jadi menyuntikkan ketergantungan itu akan sulit. Sebelum kami menggunakan Spring Security, kami akan membuat kacang scoped sesi yang memiliki Kepala Sekolah saat ini, menyuntikkan itu ke "AuthService" dan kemudian menyuntikkan Layanan itu ke sebagian besar layanan lain dalam Aplikasi. Jadi Layanan tersebut hanya akan memanggil authService.getCurrentUser () untuk mendapatkan objek. Jika Anda memiliki tempat dalam kode Anda di mana Anda mendapatkan referensi ke Kepala Sekolah yang sama di sesi, Anda bisa mengaturnya sebagai properti di kacang scoped sesi Anda.

Coba ini

Otentikasi otentikasi = SecurityContextHolder.getContext (). GetAuthentication ();
String userName = authentication.getName ();

Solusi terbaik jika Anda menggunakan Spring 3 dan memerlukan prinsip autentikasi di controller Anda adalah melakukan sesuatu seperti ini:

import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.userdetails.User;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;

    @Controller
    public class KnoteController {
        @RequestMapping(method = RequestMethod.GET)
        public java.lang.String list(Model uiModel, UsernamePasswordAuthenticationToken authToken) {

            if (authToken instanceof UsernamePasswordAuthenticationToken) {
                user = (User) authToken.getPrincipal();
            }
            ...

    }

Saya menggunakan @AuthenticationPrincipalanotasi di @Controllerkelas maupun di @ControllerAdviceranotasi. Ex.:

@ControllerAdvice
public class ControllerAdvicer
{
    private static final Logger LOGGER = LoggerFactory.getLogger(ControllerAdvicer.class);


    @ModelAttribute("userActive")
    public UserActive currentUser(@AuthenticationPrincipal UserActive currentUser)
    {
        return currentUser;
    }
}

Di mana UserActivekelas yang saya gunakan untuk layanan pengguna yang dicatat, dan diperluas dari org.springframework.security.core.userdetails.User. Sesuatu seperti:

public class UserActive extends org.springframework.security.core.userdetails.User
{

    private final User user;

    public UserActive(User user)
    {
        super(user.getUsername(), user.getPasswordHash(), user.getGrantedAuthorities());
        this.user = user;
    }

     //More functions
}

Sangat mudah.

Tetapkan Principalsebagai ketergantungan dalam metode pengontrol Anda dan pegas akan menyuntikkan pengguna terotentikasi saat ini dalam metode Anda saat pemanggilan.

Saya suka membagikan cara saya mendukung detail pengguna di halaman freemarker. Semuanya sangat sederhana dan bekerja dengan sempurna!

Anda hanya perlu meletakkan rerequest Authentication di default-target-url(halaman setelah form-login) Ini adalah metode Kontroler saya untuk halaman itu:

@RequestMapping(value = "/monitoring", method = RequestMethod.GET)
public ModelAndView getMonitoringPage(Model model, final HttpServletRequest request) {
    showRequestLog("monitoring");


    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    String userName = authentication.getName();
    //create a new session
    HttpSession session = request.getSession(true);
    session.setAttribute("username", userName);

    return new ModelAndView(catalogPath + "monitoring");
}

Dan ini adalah kode ftl saya:

<@security.authorize ifAnyGranted="ROLE_ADMIN, ROLE_USER">
<p style="padding-right: 20px;">Logged in as ${username!"Anonymous" }</p>
</@security.authorize> 

Dan itu saja, nama pengguna akan muncul di setiap halaman setelah otorisasi.