Cara mendapatkan UserDetails pengguna aktif

Di pengontrol saya, ketika saya membutuhkan pengguna aktif (login), saya melakukan hal berikut untuk mendapatkan UserDetailsimplementasi saya :

User activeUser = (User)SecurityContextHolder.getContext().getAuthentication().getPrincipal();
log.debug(activeUser.getSomeCustomField());

Ini bekerja dengan baik, tetapi saya akan berpikir Spring dapat membuat hidup lebih mudah dalam kasus seperti ini. Apakah ada cara untuk memiliki UserDetailsautowired ke controller atau metode?

Misalnya, sesuatu seperti:

public ModelAndView someRequestHandler(Principal principal) { ... }

Tapi alih-alih mendapatkan UsernamePasswordAuthenticationToken, saya UserDetailsmalah mendapatkan ?

Saya mencari solusi yang elegan. Ada ide?

Pembukaan: Sejak Spring-Security 3.2 ada penjelasan bagus yang @AuthenticationPrincipaldijelaskan di akhir jawaban ini. Ini adalah cara terbaik untuk pergi ketika Anda menggunakan Spring-Security> = 3.2.

Ketika anda:

• menggunakan versi Spring-Security yang lebih lama,
• perlu memuat Objek Pengguna kustom Anda dari Database dengan beberapa informasi (seperti login atau id) yang disimpan di kepala sekolah atau
• ingin belajar bagaimana a HandlerMethodArgumentResolveratau WebArgumentResolverdapat menyelesaikan ini dengan cara yang elegan, atau hanya ingin mempelajari latar belakang @AuthenticationPrincipaldan AuthenticationPrincipalArgumentResolver(karena didasarkan pada a HandlerMethodArgumentResolver)

kemudian terus membaca - lain hanya menggunakan @AuthenticationPrincipaldan terima kasih kepada Rob Winch (Penulis @AuthenticationPrincipal) dan Lukas Schmelzeisen (untuk jawabannya).

(BTW: Jawaban saya sedikit lebih tua (Januari 2012), jadi Lukas Schmelzeisen yang muncul sebagai yang pertama dengan @AuthenticationPrincipalbasis solusi anotasi pada Spring Security 3.2.)

Kemudian Anda dapat menggunakan controller Anda

public ModelAndView someRequestHandler(Principal principal) {
   User activeUser = (User) ((Authentication) principal).getPrincipal();
   ...
}

Tidak apa-apa jika Anda membutuhkannya sekali. Tetapi jika Anda membutuhkannya beberapa kali jelek karena itu mencemari controller Anda dengan detail infrastruktur, yang biasanya harus disembunyikan oleh kerangka kerja.

Jadi yang mungkin Anda inginkan adalah memiliki pengontrol seperti ini:

public ModelAndView someRequestHandler(@ActiveUser User activeUser) {
   ...
}

Karena itu Anda hanya perlu mengimplementasikan a WebArgumentResolver. Ini memiliki metode

Object resolveArgument(MethodParameter methodParameter,
                   NativeWebRequest webRequest)
                   throws Exception

Itu mendapat permintaan web (parameter kedua) dan harus mengembalikan Userjika merasa bertanggung jawab atas argumen metode (parameter pertama).

Sejak Spring 3.1 ada konsep baru yang disebut HandlerMethodArgumentResolver. Jika Anda menggunakan Spring 3.1+ maka Anda harus menggunakannya. (Dijelaskan di bagian selanjutnya dari jawaban ini))

public class CurrentUserWebArgumentResolver implements WebArgumentResolver{

   Object resolveArgument(MethodParameter methodParameter, NativeWebRequest webRequest) {
        if(methodParameter is for type User && methodParameter is annotated with @ActiveUser) {
           Principal principal = webRequest.getUserPrincipal();
           return (User) ((Authentication) principal).getPrincipal();
        } else {
           return WebArgumentResolver.UNRESOLVED;
        }
   }
}

Anda perlu mendefinisikan Anotasi Khusus - Anda dapat mengabaikannya jika setiap instance Pengguna harus selalu diambil dari konteks keamanan, tetapi tidak pernah menjadi objek perintah.

@Target(ElementType.PARAMETER)
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface ActiveUser {}

Dalam konfigurasi Anda hanya perlu menambahkan ini:

<bean class="org.springframework.web.servlet.mvc.annotation.AnnotationMethodHandlerAdapter"
    id="applicationConversionService">
    <property name="customArgumentResolver">
        <bean class="CurrentUserWebArgumentResolver"/>
    </property>
</bean>

@Lihat: Belajar untuk menyesuaikan argumen metode Spring MVC @Controller

Perlu dicatat bahwa jika Anda menggunakan Spring 3.1, mereka merekomendasikan HandlerMethodArgumentResolver melalui WebArgumentResolver. - Lihat komentar oleh Jay

Sama dengan HandlerMethodArgumentResolveruntuk Spring 3.1+

public class CurrentUserHandlerMethodArgumentResolver
                               implements HandlerMethodArgumentResolver {

     @Override
     public boolean supportsParameter(MethodParameter methodParameter) {
          return
              methodParameter.getParameterAnnotation(ActiveUser.class) != null
              && methodParameter.getParameterType().equals(User.class);
     }

     @Override
     public Object resolveArgument(MethodParameter methodParameter,
                         ModelAndViewContainer mavContainer,
                         NativeWebRequest webRequest,
                         WebDataBinderFactory binderFactory) throws Exception {

          if (this.supportsParameter(methodParameter)) {
              Principal principal = webRequest.getUserPrincipal();
              return (User) ((Authentication) principal).getPrincipal();
          } else {
              return WebArgumentResolver.UNRESOLVED;
          }
     }
}

Dalam konfigurasi, Anda perlu menambahkan ini

<mvc:annotation-driven>
      <mvc:argument-resolvers>
           <bean class="CurrentUserHandlerMethodArgumentResolver"/>         
      </mvc:argument-resolvers>
 </mvc:annotation-driven>

@Lihat Memanfaatkan antarmuka Spring MVC 3.1 HandlerMethodArgumentResolver

Spring-Security 3.2 Solusi

Spring Security 3.2 (jangan bingung dengan Spring 3.2) memiliki solusi build in sendiri: @AuthenticationPrincipal( org.springframework.security.web.bind.annotation.AuthenticationPrincipal). Ini dijelaskan dengan baik dalam jawaban Lukas Schmelzeisen

Itu hanya menulis

ModelAndView someRequestHandler(@AuthenticationPrincipal User activeUser) {
    ...
 }

Agar ini berfungsi, Anda harus mendaftarkan AuthenticationPrincipalArgumentResolver( org.springframework.security.web.bind.support.AuthenticationPrincipalArgumentResolver): baik dengan "mengaktifkan" @EnableWebMvcSecurityatau dengan mendaftarkan kacang ini dalam mvc:argument-resolvers- cara yang sama dengan yang saya jelaskan dengan solusi Spring 3.1 di atas.

@Lihat Spring Security 3.2 Referensi, Bab 11.2. @ OtentikasiPrincipal

Solusi Spring-Security 4.0

Ini bekerja seperti solusi Spring 3.2, tetapi di Spring 4.0 @AuthenticationPrincipaldan AuthenticationPrincipalArgumentResolver"dipindahkan" ke paket lain:

• org.springframework.security.core.annotation.AuthenticationPrincipal
• org.springframework.security.web.method.annotation.AuthenticationPrincipalArgumentResolver

(Tapi kelas-kelas lama di paket-paket lamanya masih ada, jadi jangan campur mereka!)

Itu hanya menulis

import org.springframework.security.core.annotation.AuthenticationPrincipal;
ModelAndView someRequestHandler(@AuthenticationPrincipal User activeUser) {
    ...
}

Agar ini berfungsi, Anda harus mendaftarkan ( org.springframework.security.web.method.annotation.) AuthenticationPrincipalArgumentResolver: baik dengan "mengaktifkan" @EnableWebMvcSecurityatau dengan mendaftarkan kacang ini dalam mvc:argument-resolvers- cara yang sama dengan yang saya jelaskan dengan solusi Spring 3.1 di atas.

<mvc:annotation-driven>
    <mvc:argument-resolvers>
        <bean class="org.springframework.security.web.method.annotation.AuthenticationPrincipalArgumentResolver" />
    </mvc:argument-resolvers>
</mvc:annotation-driven>

@Lihat Referensi Spring Security 5.0, Bab 39.3 @ OtentikasiPrincipal

Sementara Ralphs Answer memberikan solusi yang elegan, dengan Spring Security 3.2 Anda tidak perlu lagi mengimplementasikannya sendiri ArgumentResolver.

Jika Anda memiliki UserDetailsimplementasi CustomUser, Anda bisa melakukan ini:

@RequestMapping("/messages/inbox")
public ModelAndView findMessagesForUser(@AuthenticationPrincipal CustomUser customUser) {

    // .. find messages for this User and return them...
}

Lihat Dokumentasi Spring Security: @AuthenticationPrincipal

Spring Security dimaksudkan untuk bekerja dengan kerangka kerja non-Spring lainnya, oleh karena itu ia tidak terintegrasi dengan Spring MVC. Spring Security mengembalikan Authenticationobjek dari HttpServletRequest.getUserPrincipal()metode secara default sehingga itulah yang Anda dapatkan sebagai prinsipal. Anda dapat memperoleh UserDetailsobjek Anda langsung dari ini dengan menggunakan

UserDetails ud = ((Authentication)principal).getPrincipal()

Perhatikan juga bahwa tipe objek dapat bervariasi tergantung pada mekanisme otentikasi yang digunakan (misalnya, Anda mungkin tidak mendapatkan UsernamePasswordAuthenticationToken) dan objek yang Authenticationtidak harus berisi a UserDetails. Ini bisa berupa string atau jenis lainnya.

Jika Anda tidak ingin menelepon SecurityContextHoldersecara langsung, pendekatan yang paling elegan (yang akan saya ikuti) adalah menyuntikkan antarmuka pengakses konteks keamanan kustom Anda sendiri yang disesuaikan dengan kebutuhan dan jenis objek pengguna. Buat antarmuka, dengan metode yang relevan, misalnya:

interface MySecurityAccessor {

    MyUserDetails getCurrentUser();

    // Other methods
}

Anda kemudian dapat mengimplementasikan ini dengan mengakses SecurityContextHolderimplementasi standar Anda, sehingga memisahkan kode Anda dari Spring Security sepenuhnya. Kemudian menyuntikkan ini ke pengontrol yang membutuhkan akses ke informasi keamanan atau informasi pada pengguna saat ini.

Manfaat utama lainnya adalah mudah untuk membuat implementasi sederhana dengan data tetap untuk pengujian, tanpa harus khawatir tentang populasi thread-lokal dan sebagainya.

Menerapkan HandlerInterceptorantarmuka, lalu menyuntikkan UserDetailske setiap permintaan yang memiliki Model, sebagai berikut:

@Component 
public class UserInterceptor implements HandlerInterceptor {
    ....other methods not shown....
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        if(modelAndView != null){
            modelAndView.addObject("user", (User)SecurityContextHolder.getContext().getAuthentication().getPrincipal());
        }
}

Dimulai dengan Spring Security versi 3.2, fungsionalitas khusus yang telah diterapkan oleh beberapa jawaban yang lebih lama, ada di luar kotak dalam bentuk @AuthenticationPrincipalanotasi yang didukung olehAuthenticationPrincipalArgumentResolver .

Contoh sederhana penggunaannya adalah:

@Controller
public class MyController {
   @RequestMapping("/user/current/show")
   public String show(@AuthenticationPrincipal CustomUser customUser) {
        // do something with CustomUser
       return "view";
   }
}

CustomUser perlu ditugaskan dari authentication.getPrincipal()

Berikut adalah Javadocs yang sesuai dari AuthenticationPrincipal dan AuthenticationPrincipalArgumentResolver

@Controller
public abstract class AbstractController {
    @ModelAttribute("loggedUser")
    public User getLoggedUser() {
        return (User)SecurityContextHolder.getContext().getAuthentication().getPrincipal();
    }
}

Dan jika Anda membutuhkan pengguna yang berwenang dalam template (misalnya JSP) gunakan

<%@ taglib prefix="sec" uri="http://www.springframework.org/security/tags" %>
<sec:authentication property="principal.yourCustomField"/>

bersama dengan

    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-taglibs</artifactId>
        <version>${spring-security.version}</version>
    </dependency>

Anda dapat mencoba ini: Dengan Menggunakan Objek Otentikasi dari Spring kita bisa mendapatkan rincian Pengguna dari itu dalam metode controller. Di bawah ini adalah contoh, dengan meneruskan objek Otentikasi dalam metode pengontrol bersama dengan argumen. Setelah pengguna diautentikasi detailnya terisi dalam Objek Otentikasi.

@GetMapping(value = "/mappingEndPoint") <ReturnType> methodName(Authentication auth) {
   String userName = auth.getName(); 
   return <ReturnType>;
}