Как защитить потоковое приложение Vaadin с помощью Spring Security

Я пытаюсь интегрировать vaadin 10 с системой безопасности Spring (используя базу проектов Spring, предоставленную vaadin), и я не совсем понимаю, как именно они взаимодействуют. Если я захожу на защищенный URL (в этом примере "/ about"), набирая его прямо в браузере, появляется страница входа. Если перейти по тому же URL-адресу, щелкнув ссылку в пользовательском интерфейсе, появится страница, даже если я не прошел проверку подлинности. Поэтому я предполагаю, что Vaadin не проходит через цепочку фильтров Spring Security, но как мне защитить свои ресурсы внутри пользовательского интерфейса и как я могу разделить аутентифицированного пользователя между vaadin и spring? Я должен внедрить безопасность дважды? Доступная документация, кажется, не покрывает это, и у каждой ссылки в Интернете есть примеры с Vaadin 7-8, который я никогда не использовал и, кажется, работает иначе, чем 10+.

Кто-нибудь знает какой-либо ресурс по этому поводу, или вы можете рассказать мне, как все это работает вместе, чтобы я мог знать, что я делаю?

Вот моя конфигурация безопасности:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private static final String[] ALLOWED_GET_URLS = {
        "/",
        //"/about",
        "/login/**",
        "/frontend/**",
        "/VAADIN/**",
        "/favicon.ico"
    };

    private static final String[] ALLOWED_POST_URLS = {
        "/"
    };

    //@formatter:off
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf()
                .disable()
            .authorizeRequests()
                .mvcMatchers(HttpMethod.GET, ALLOWED_GET_URLS)
                    .permitAll()
                .mvcMatchers(HttpMethod.POST, ALLOWED_POST_URLS)
                    .permitAll()
                .anyRequest()
                    .fullyAuthenticated()
             .and()
                .formLogin()
                    .loginPage("/login")
                    .permitAll()
            .and()
                .logout()
                    .logoutSuccessUrl("/")
                    .permitAll();
    }
    //@formatter:on

}
Источник

0 ответов

В основном, используя Vaadin Flow (12.0.2), Spring Boot Starter (2.0.2.RELEASE) и Spring Boot Security, я обнаружил, что авторизация основана на роли / полномочиях с использованием следующих способов;

Маршрут / Контекст, основанный на роли / управлении полномочиями

  • Безопасность весны (HttpSecurity)
  • Vaadin API (BeforeEnterListener и Route/Navigation API)

Роль бизнес-единицы / управление полномочиями

  • Внутри кода с использованием метода HttpServletRequest.isUserInRole

Давайте начнем с простого примера конфигурации Spring Security;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig
        extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf().disable() // CSRF is handled by Vaadin: https://vaadin.com/framework/security
                .exceptionHandling().accessDeniedPage("/accessDenied")
                .authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/login"))
                .and().logout().logoutSuccessUrl("/")
                .and()
                .authorizeRequests()
                // allow Vaadin URLs and the login URL without authentication
                .regexMatchers("/frontend/.*", "/VAADIN/.*", "/login.*", "/accessDenied").permitAll()
                .regexMatchers(HttpMethod.POST, "/\\?v-r=.*").permitAll()
                // deny any other URL until authenticated
                .antMatchers("/**").fullyAuthenticated()
            /*
             Note that anonymous authentication is enabled by default, therefore;
             SecurityContextHolder.getContext().getAuthentication().isAuthenticated() always will return true.
             Look at LoginView.beforeEnter method.
             more info: https://docs.spring.io/spring-security/site/docs/4.0.x/reference/html/anonymous.html
             */
        ;
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
                .inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())
                .withUser("admin").password("$2a$10$obstjyWMAVfsNoKisfyCjO/DNfO9OoMOKNt5a6GRlVS7XNUzYuUbO").roles("ADMIN");// user and pass: admin 
    }

    /**
    * Expose the AuthenticationManager (to be used in LoginView)
    * @return
    * @throws Exception
    */
    @Bean(name = BeanIds.AUTHENTICATION_MANAGER)
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
}

Как вы видите, я не указал никаких разрешений на основе роли ни в одном из моих маршрутизируемых представлений (помеченных @Route). Что я буду делать, если у меня будет перенаправленное представление, я зарегистрирую BeforeEnterListener при его создании (перенаправленное представление) и проверим там необходимую роль / привилегию.

Ниже приведен пример проверки, имеет ли пользователь роль ADMIN, прежде чем перейти к представлению admin-utils;

@Route(value = "admin-utils")
public class AdminUtilsView extends VerticalLayout { 
@Autowired
private HttpServletRequest req;
...
    AdminUtilsView() {
        ...
        UI.getCurrent().addBeforeEnterListener(new BeforeEnterListener() {
            @Override
            public void beforeEnter(BeforeEnterEvent beforeEnterEvent) {
                if (beforeEnterEvent.getNavigationTarget() != DeniedAccessView.class && // This is to avoid a
                        // loop if DeniedAccessView is the target
                        !req.isUserInRole("ADMIN")) {
                    beforeEnterEvent.rerouteTo(DeniedAccessView.class);
                }
            }
        });
    }
}

Если у пользователя нет роли ADMIN, он (а) будет перенаправлен на DeniedAccessView, который разрешен для всех в конфигурации Spring Security.

@Route(value = "accessDenied")
public class DeniedAccessView
        extends VerticalLayout {
    DeniedAccessView() {
        FormLayout formLayout = new FormLayout();
        formLayout.add(new Label("Access denied!"));
        add(formLayout);
    }
}

В приведенном выше примере (AdminUtilsView) вы также можете увидеть вариант использования для HttpServletRequest.isUserInRole() в коде Vaadin путем автоматической разводки HttpServletRequest.

РЕЗЮМЕ: Если у вашего представления есть Route, используйте BeforeEnterListener для первой авторизации запроса, в противном случае используйте средства сопоставления Spring Security (например, regexMatchers или antMatchers) для служб отдыха и т. Д.

ПРИМЕЧАНИЕ. Использование обоих правил сопоставления Vaadin Route и Spring Security для одного и того же правила может быть немного искажено, и я не советую этого (это вызывает некоторые внутренние циклы в Vaadin; например, представьте, что у нас есть представление, перенаправленное с / view, и запись в Spring Security для / view с требуемой ролью. Если пользователю не хватает такой роли и он / она перенаправлен на эту страницу (с помощью API маршрутизации Vaadin), Vaadin пытается открыть представление, связанное с маршрутом, в то время как Spring безопасность избегает этого из-за отсутствующей роли).

Кроме того, я думаю, что использование API навигации потока Vaadin хорошей практикой перед перенаправлением или переходом пользователя к другому представлению / контексту будет проверка требуемой роли / полномочий.

Более того, чтобы иметь пример использования AuthenticationManager в Vaadin, у нас может быть LoginView на основе Vaadin, похожее на;

@Route(value = "login")
public class LoginView
        extends FlexLayout implements BeforeEnterObserver {

    private final Label label;
    private final TextField userNameTextField;
    private final PasswordField passwordField;

    /**
    * AuthenticationManager is already exposed in WebSecurityConfig
    */
    @Autowired
    private AuthenticationManager authManager;

    @Autowired
    private HttpServletRequest req;

    LoginView() {
        label = new Label("Please login...");

        userNameTextField = new TextField();
        userNameTextField.setPlaceholder("Username");
        UiUtils.makeFirstInputTextAutoFocus(Collections.singletonList(userNameTextField));

        passwordField = new PasswordField();
        passwordField.setPlaceholder("Password");
        passwordField.addKeyDownListener(Key.ENTER, (ComponentEventListener<KeyDownEvent>) keyDownEvent -> authenticateAndNavigate());

        Button submitButton = new Button("Login");
        submitButton.addClickListener((ComponentEventListener<ClickEvent<Button>>) buttonClickEvent -> {
            authenticateAndNavigate();
        });

        FormLayout formLayout = new FormLayout();
        formLayout.add(label, userNameTextField, passwordField, submitButton);
        add(formLayout);

        // center the form
        setAlignItems(Alignment.CENTER);
        this.getElement().getStyle().set("height", "100%");
        this.getElement().getStyle().set("justify-content", "center");
    }

    private void authenticateAndNavigate() {
        /*
        Set an authenticated user in Spring Security and Spring MVC
        spring-security
        */
        UsernamePasswordAuthenticationToken authReq
                = new UsernamePasswordAuthenticationToken(userNameTextField.getValue(), passwordField.getValue());
        try {
            // Set authentication
            Authentication auth = authManager.authenticate(authReq);
            SecurityContext sc = SecurityContextHolder.getContext();
            sc.setAuthentication(auth);

            /*
            Navigate to the requested page:
            This is to redirect a user back to the originally requested URL – after they log in as we are not using
            Spring's AuthenticationSuccessHandler.
            */
            HttpSession session = req.getSession(false);
            DefaultSavedRequest savedRequest = (DefaultSavedRequest) session.getAttribute("SPRING_SECURITY_SAVED_REQUEST");
            String requestedURI = savedRequest != null ? savedRequest.getRequestURI() : Application.APP_URL;

            this.getUI().ifPresent(ui -> ui.navigate(StringUtils.removeStart(requestedURI, "/")));
        } catch (BadCredentialsException e) {
            label.setText("Invalid username or password. Please try again.");
        }
    }

    /**
    * This is to redirect user to the main URL context if (s)he has already logged in and tries to open /login
    *
    * @param beforeEnterEvent
    */
    @Override
    public void beforeEnter(BeforeEnterEvent beforeEnterEvent) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        //Anonymous Authentication is enabled in our Spring Security conf
        if (auth != null && auth.isAuthenticated() && !(auth instanceof AnonymousAuthenticationToken)) {
            //https://vaadin.com/docs/flow/routing/tutorial-routing-lifecycle.html
            beforeEnterEvent.rerouteTo("");
        }
    }
}

И, наконец, вот метод выхода из системы, который можно вызвать из меню или кнопки:

/**
 * log out the current user using Spring security and Vaadin session management
 */
void requestLogout() {
    //https://stackru.com/a/5727444/1572286
    SecurityContextHolder.clearContext();
    req.getSession(false).invalidate();

    // And this is similar to how logout is handled in Vaadin 8:
    // https://vaadin.com/docs/v8/framework/articles/HandlingLogout.html
    UI.getCurrent().getSession().close();
    UI.getCurrent().getPage().reload();// to redirect user to the login page
}

Вы можете продолжить выполнение управления ролями с помощью Spring UserDetailsService и создания компонента PasswordEncoder, просмотрев следующие примеры:

Источник
Другие вопросы по тегам