常见问题 (FAQ) _ Spring Security 5.8.13 中文文档(官方文档中文翻译) —

对于最新的稳定版本，请使用 Spring Security 6.3.1！Spring中文文档

一般问题

Spring Security 会满足我的所有应用程序安全要求吗？

Spring Security 为您的身份验证和授权要求提供了一个非常灵活的框架，但构建安全应用程序还有许多其他注意事项超出了其范围。 Web 应用程序容易受到各种攻击的攻击，您应该熟悉这些攻击，最好在开始开发之前，这样您就可以从一开始就考虑到它们进行设计和编码。查看 OWASP 网站，了解 Web 应用程序开发人员面临的主要问题以及可用于对付这些问题的对策。Spring中文文档

为什么不直接使用web.xml安全性呢？

假设您正在开发一个基于 Spring 的企业应用程序。通常需要解决四个安全问题：身份验证、Web 请求安全性、服务层安全性（即实现业务逻辑的方法）和域对象实例安全性（即不同的域对象具有不同的权限）。牢记以下典型要求：Spring中文文档

身份验证：Servlet 规范提供了一种身份验证方法。但是，您需要将容器配置为执行身份验证，这通常需要编辑特定于容器的“领域”设置。这使得配置不可移植，如果您需要编写一个实际的 Java 类来实现容器的身份验证接口，它将变得更加不可移植。使用 Spring Security，您可以实现完全的可移植性 - 直至 WAR 级别。此外，Spring Security 还提供了经过生产验证的身份验证提供程序和机制的选择，这意味着您可以在部署时切换身份验证方法。这对于编写需要在未知目标环境中工作的产品的软件供应商来说特别有价值。Spring中文文档
Web 请求安全性：Servlet 规范提供了一种保护请求 URI 的方法。但是，这些 URI 只能用 servlet 规范自己的有限 URI 路径格式表示。 Spring Security 提供了一种更全面的方法。例如，您可以使用 Ant 路径或正则表达式，您可以考虑 URI 的一部分，而不仅仅是请求的页面（例如您可以考虑 HTTP GET 参数），并且可以实现自己的配置数据运行时源。这意味着在实际执行 Web 应用期间，可以动态更改 Web 请求安全性。Spring中文文档
服务层和域对象安全性：Servlet 规范中缺少对服务层安全性或域对象实例安全性的支持，这严重限制了多层应用程序。通常，开发人员要么忽略这些要求，要么在其 MVC 控制器代码中（甚至更糟的是，在视图中）实现安全逻辑。这种方法存在严重的缺点：Spring中文文档
1. 关注点分离：授权是一个贯穿各领域的问题，应按此方式实施。实现授权代码的 MVC 控制器或视图使得控制器和授权逻辑的测试更加困难，调试更加困难，并且经常会导致代码重复。Spring中文文档
2. 支持富客户端和 Web 服务：如果最终必须支持其他客户端类型，则嵌入在 Web 层中的任何授权代码都是不可重用的。应该考虑的是，Spring 远程处理导出器仅导出服务层 bean（而不是 MVC 控制器）。因此，授权逻辑需要位于服务层中，以支持多种客户端类型。Spring中文文档
3. 分层问题：MVC 控制器或视图只是不正确的体系结构层，用于实现有关服务层方法或域对象实例的授权决策。虽然主体可以传递到服务层以使其能够做出授权决策，但这样做会在每个服务层方法上引入一个额外的参数。一种更优雅的方法是使用 ThreadLocal 来保存主体，尽管这可能会增加开发时间，使得仅使用专用安全框架会变得更经济（基于成本效益）。Spring中文文档
4. 授权码质量：人们常说 Web 框架“使做正确的事情变得更容易，做错误的事情变得更难”。安全框架是相同的，因为它们是以抽象的方式设计的，用于广泛的目的。从头开始编写自己的授权代码并不能提供框架所能提供的“设计检查”，而且内部授权代码通常缺乏广泛部署、同行评审和新版本带来的改进。Spring中文文档

对于简单的应用程序，servlet 规范安全性可能就足够了。尽管在 Web 容器可移植性、配置要求、有限的 Web 请求安全灵活性以及不存在的服务层和域对象实例安全性的上下文中考虑时，开发人员经常寻求替代解决方案的原因变得很清楚。Spring中文文档

需要哪些 Java 和 Spring Framework 版本？

Spring Security 3.0 和 3.1 至少需要 JDK 1.5，并且至少需要 Spring 3.0.3。理想情况下，您应该使用最新版本以避免出现问题。Spring中文文档

Spring Security 2.0.x 要求最低 JDK 版本为 1.4，并且是针对 Spring 2.0.x 构建的。它还应该与使用 Spring 2.5.x 的应用程序兼容。Spring中文文档

我是 Spring Security 的新手，我需要构建一个支持通过 HTTPS 进行 CAS 单点登录的应用程序，同时允许对某些 URL 进行本地基本身份验证，针对多个后端用户信息源（LDAP 和 JDBC）进行身份验证。我复制了一些我找到的配置文件，但它不起作用。

可能出了什么问题？Spring中文文档

或者用另一种复杂的场景来代替......Spring中文文档

实际上，您需要先了解打算使用的技术，然后才能使用它们成功构建应用程序。安全性很复杂。使用登录表单设置简单的配置，并使用 Spring Security 的命名空间设置一些硬编码用户是相当简单的。改用受支持的 JDBC 数据库也很容易。但是，如果您尝试直接跳到像这样的复杂部署方案，您几乎肯定会感到沮丧。设置CAS等系统，配置LDAP服务器和正确安装SSL证书所需的学习曲线有很大的飞跃。所以你需要一步一个脚印。Spring中文文档

从 Spring Security 的角度来看，您应该做的第一件事是按照网站上的“入门”指南进行操作。这将引导您完成一系列步骤来启动和运行，并了解框架的运行方式。如果你正在使用你不熟悉的其他技术，那么你应该做一些研究，并尝试确保在将它们组合到一个复杂的系统中之前，你可以单独使用它们。Spring中文文档

常见问题

这意味着身份验证失败。它没有说明原因，因为最好避免提供可能有助于攻击者猜测帐户名称或密码的详细信息。Spring中文文档

这也意味着，如果您在论坛中提出这个问题，除非您提供其他信息，否则您将不会得到答案。与任何问题一样，您应该检查调试日志的输出，注意任何异常堆栈跟踪和相关消息。单步执行调试器中的代码，查看身份验证失败的位置和原因。编写一个测试用例，用于在应用程序外部执行身份验证配置。通常，失败是由于存储在数据库中的密码数据与用户输入的密码数据不同造成的。如果使用哈希密码，请确保存储在数据库中的值与应用程序中配置的密码生成的值完全相同。PasswordEncoderSpring中文文档

无限循环和重定向到登录页面的常见用户问题是由于意外将登录页面配置为“安全”资源引起的。请确保您的配置允许匿名访问登录页面，方法是将其从安全筛选器链中排除或将其标记为需要ROLE_ANONYMOUS。Spring中文文档

如果 AccessDecisionManager 包含 AuthenticatedVoter，则可以使用属性“IS_AUTHENTICATED_ANONYMOUSLY”。如果您使用的是标准命名空间配置设置，则此功能将自动可用。Spring中文文档

从 Spring Security 2.0.1 开始，当您使用基于命名空间的配置时，将在加载应用程序上下文时进行检查，并在登录页面显示受保护时记录警告消息。Spring中文文档

我收到异常，消息为“访问被拒绝（用户是匿名的）;”。怎么了？

这是匿名用户首次尝试访问受保护资源时发生的调试级别消息。Spring中文文档

DEBUG [ExceptionTranslationFilter] - Access is denied (user is anonymous); redirecting to authentication entry point
org.springframework.security.AccessDeniedException: Access is denied
at org.springframework.security.vote.AffirmativeBased.decide(AffirmativeBased.java:68)
at org.springframework.security.intercept.AbstractSecurityInterceptor.beforeInvocation(AbstractSecurityInterceptor.java:262)

这是正常的，不应该有什么可担心的。Spring中文文档

为什么即使我注销了应用程序，我仍然可以看到安全页面？

最常见的原因是您的浏览器已经缓存了该页面，并且您看到正在从浏览器缓存中检索的副本。通过检查浏览器是否实际发送请求来验证这一点（检查您的服务器访问日志、调试日志或使用合适的浏览器调试插件，例如 Firefox 的“篡改数据”）。这与 Spring Security 无关，您应该配置应用程序或服务器以设置适当的响应标头。请注意，从不缓存 SSL 请求。Cache-ControlSpring中文文档

我收到异常，消息为“在 SecurityContext 中找不到身份验证对象”。怎么了？

这是另一个调试级别消息，在匿名用户首次尝试访问受保护资源时发生，但在筛选器链配置中没有。AnonymousAuthenticationFilterSpring中文文档

DEBUG [ExceptionTranslationFilter] - Authentication exception occurred; redirecting to authentication entry point
org.springframework.security.AuthenticationCredentialsNotFoundException:
							An Authentication object was not found in the SecurityContext
at org.springframework.security.intercept.AbstractSecurityInterceptor.credentialsNotFound(AbstractSecurityInterceptor.java:342)
at org.springframework.security.intercept.AbstractSecurityInterceptor.beforeInvocation(AbstractSecurityInterceptor.java:254)

这是正常的，不应该有什么可担心的。Spring中文文档

我无法让 LDAP 身份验证正常工作。

我的配置有什么问题？Spring中文文档

请注意，LDAP 目录的权限通常不允许您读取用户的密码。因此，通常无法使用什么是UserDetailsService，我需要一个吗？，其中 Spring Security 将存储的密码与用户提交的密码进行比较。最常见的方法是使用 LDAP“绑定”，这是 LDAP 协议支持的操作之一。使用这种方法，Spring Security 通过尝试以用户身份向目录进行身份验证来验证密码。Spring中文文档

LDAP 身份验证最常见的问题是缺乏对目录服务器树结构和配置的了解。这在不同的公司会有所不同，所以你必须自己找出来。在将Spring Security LDAP配置添加到应用程序之前，最好使用标准Java LDAP代码（不涉及Spring Security）编写一个简单的测试，并确保您可以首先使其正常工作。例如，若要对用户进行身份验证，可以使用以下代码：Spring中文文档

JavaSpring中文文档
KotlinSpring中文文档

@Test
public void ldapAuthenticationIsSuccessful() throws Exception {
		Hashtable<String,String> env = new Hashtable<String,String>();
		env.put(Context.SECURITY_AUTHENTICATION, "simple");
		env.put(Context.SECURITY_PRINCIPAL, "cn=joe,ou=users,dc=mycompany,dc=com");
		env.put(Context.PROVIDER_URL, "ldap://mycompany.com:389/dc=mycompany,dc=com");
		env.put(Context.SECURITY_CREDENTIALS, "joespassword");
		env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");

		InitialLdapContext ctx = new InitialLdapContext(env, null);

}

@Test
fun ldapAuthenticationIsSuccessful() {
    val env = Hashtable<String, String>()
    env[Context.SECURITY_AUTHENTICATION] = "simple"
    env[Context.SECURITY_PRINCIPAL] = "cn=joe,ou=users,dc=mycompany,dc=com"
    env[Context.PROVIDER_URL] = "ldap://mycompany.com:389/dc=mycompany,dc=com"
    env[Context.SECURITY_CREDENTIALS] = "joespassword"
    env[Context.INITIAL_CONTEXT_FACTORY] = "com.sun.jndi.ldap.LdapCtxFactory"
    val ctx = InitialLdapContext(env, null)
}

会话管理

会话管理问题是论坛问题的常见来源。如果要开发 Java Web 应用程序，则应了解如何在 servlet 容器和用户浏览器之间维护会话。您还应该了解安全 Cookie 和非安全 Cookie 之间的区别，以及使用 HTTP/HTTPS 并在两者之间切换的含义。 Spring Security 与维护会话或提供会话标识符无关。这完全由 servlet 容器处理。Spring中文文档

我正在使用 Spring Security 的并发会话控制来防止用户一次登录多次。

当我在登录后打开另一个浏览器窗口时，它不会阻止我再次登录。为什么我可以多次登录？Spring中文文档

浏览器通常为每个浏览器实例维护一个会话。您不能同时进行两个单独的会话。因此，如果您在另一个窗口或选项卡中再次登录，则只是在同一会话中重新进行身份验证。服务器对选项卡、窗口或浏览器实例一无所知。它看到的只是 HTTP 请求，并根据它们包含的 JSESSIONID cookie 的值将这些请求绑定到特定会话。当用户在会话期间进行身份验证时，Spring Security 的并发会话控制会检查他们拥有的其他经过身份验证的会话的数量。如果它们已使用同一会话进行身份验证，则重新身份验证将不起作用。Spring中文文档

为什么当我通过 Spring Security 进行身份验证时，会话 ID 会发生变化？

使用默认配置，Spring Security 会在用户进行身份验证时更改会话 ID。如果您使用的是 Servlet 3.1 或更高版本的容器，则会话 ID 将仅更改。如果您使用的是较旧的容器，Spring Security 会使现有会话失效，创建新会话，并将会话数据传输到新会话。以这种方式更改会话标识符可防止“会话固定”攻击。您可以在线和参考手册中找到有关此内容的更多信息。Spring中文文档

我正在使用 Tomcat（或其他一些 servlet 容器）并为我的登录页面启用了 HTTPS，然后切换回 HTTP。

它不起作用 - 我只是在身份验证后返回登录页面。Spring中文文档

发生这种情况是因为在HTTPS下创建的会话（其会话cookie被标记为“安全”）随后无法在HTTP下使用。浏览器不会将 cookie 发送回服务器，并且任何会话状态都将丢失（包括安全上下文信息）。首先在 HTTP 中启动会话应该可以工作，因为会话 cookie 不会被标记为安全。但是，Spring Security 的会话固定保护可能会干扰这一点，因为它会导致新的会话 ID cookie 被发送回用户的浏览器，通常带有安全标志。要解决此问题，您可以禁用会话固定保护，但在较新的 Servlet 容器中，您还可以将会话 cookie 配置为从不使用安全标志。请注意，在HTTP和HTTPS之间切换通常不是一个好主意，因为任何使用HTTP的应用程序都容易受到中间人攻击。为了真正安全，用户应该开始以 HTTPS 访问您的网站并继续使用它，直到他们注销。即使从通过 HTTP 访问的页面单击 HTTPS 链接也存在潜在风险。如果您需要更有说服力，请查看像 sslstrip 这样的工具。Spring中文文档

我没有在 HTTP 和 HTTPS 之间切换，但我的会话仍然丢失

通过交换会话 cookie 或向 URL 添加参数来维护会话（如果您使用 JSTL 输出 URL，或者如果您调用 URL（例如，在重定向之前），这会自动发生）。如果客户端禁用了 Cookie，并且您没有重写 URL 以包含，则会话将丢失。请注意，出于安全原因，最好使用 cookie，因为它不会在 URL 中公开会话信息。jsessionidHttpServletResponse.encodeUrljsessionidSpring中文文档

我正在尝试使用并发会话控制支持，但它不允许我重新登录，即使我确定我已经注销并且没有超过允许的会话。

确保您已将侦听器添加到web.xml文件中。必须确保在会话被销毁时通知 Spring Security 会话注册表。如果没有它，会话信息将不会从注册表中删除。Spring中文文档

<listener>
		<listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
</listener>

Spring Security 通过将 create-session 属性设置为 never，在某处创建会话，即使我已经将其配置为不这样做。

这通常意味着用户的应用程序正在某处创建会话，但他们不知道它。最常见的罪魁祸首是 JSP。许多人不知道 JSP 默认创建会话。要阻止 JSP 创建会话，请将该指令添加到页面顶部。<%@ page session="false" %>Spring中文文档

如果在确定创建会话的位置时遇到问题，可以添加一些调试代码来跟踪位置。执行此操作的一种方法是将 a 添加到应用程序中，该应用程序调用该方法。javax.servlet.http.HttpSessionListenerThread.dumpStack()sessionCreatedSpring中文文档

我在执行 POST 时收到 403 禁止

如果为 HTTP POST 返回 HTTP 403 Forbidden，但适用于 HTTP GET，则问题很可能与 CSRF 有关。提供 CSRF 令牌或禁用 CSRF 保护（不推荐）。Spring中文文档

我正在使用 RequestDispatcher 将请求转发到另一个 URL，但未应用我的安全约束。

默认情况下，筛选器不应用于转发或包含。如果确实希望将安全过滤器应用于转发和/或包含，则必须在web.xml中使用 <dispatcher> 元素（<filter-mapping> 的子元素）显式配置这些过滤器。Spring中文文档

我已将 Spring Security 的 <global-method-security> 元素添加到我的应用程序上下文中，但是如果我将安全注释添加到我的 Spring MVC 控制器 bean（Struts 操作等），那么它们似乎没有效果。

在 Spring Web 应用程序中，保存调度程序 Servlet 的 Spring MVC Bean 的应用程序上下文通常与主应用程序上下文分开。它通常在一个名为的文件中定义，其中 “myapp” 是分配给 Spring 的名称。一个应用程序可以有多个 s，每个 s 都有自己独立的应用程序上下文。这些“子”上下文中的 Bean 对应用程序的其余部分不可见。 “父”应用程序上下文由您在 T 中定义的加载，并且对所有子上下文都可见。此父上下文通常是定义安全配置（包括元素）的位置。因此，不会强制执行应用于这些 Web Bean 中的方法的任何安全约束，因为无法从上下文中看到这些 Bean。您需要将声明移动到 Web 上下文，或者将要保护的 Bean 移动到主应用程序上下文中。myapp-servlet.xmlDispatcherServletweb.xmlDispatcherServletContextLoaderListenerweb.xml<global-method-security>DispatcherServlet<global-method-security>Spring中文文档

通常，我们建议在服务层应用方法安全性，而不是在单个 Web 控制器上应用方法安全性。Spring中文文档

我有一个用户肯定已经过身份验证，但是当我在某些请求期间尝试访问 SecurityContextHolder 时，身份验证为 null。

为什么我看不到用户信息？Spring中文文档

如果已使用与 URL 模式匹配的元素中的属性从安全筛选器链中排除了请求，则不会为该请求填充。检查调试日志，查看请求是否通过筛选器链。（您正在阅读调试日志，对吗？filters='none'<intercept-url>SecurityContextHolderSpring中文文档

使用 URL 属性时，authorize JSP 标记不遵循我的方法安全注释。

当使用属性时，方法安全性不会隐藏链接，因为我们不能轻易地对映射到哪个控制器端点的 URL 进行逆向工程，因为控制器可以依赖标头、当前用户等来确定要调用的方法。url<sec:authorize>Spring中文文档

Spring Security 架构问题

我如何知道 X 属于哪个包类？

查找类的最佳方法是在 IDE 中安装 Spring Security 源代码。该发行版包括项目划分到的每个模块的源代码 jar。将这些添加到您的项目源路径中，您可以直接导航到 Spring Security 类（在 Eclipse 中）。这也使调试更容易，并允许你通过直接查看发生异常的代码来了解异常发生的情况，从而对异常进行故障排除。Ctrl-Shift-TSpring中文文档

命名空间元素如何映射到传统的 Bean 配置？

参考指南的命名空间附录中提供了有关命名空间创建哪些 Bean 的一般概述。 blog.springsource.com 上还有一篇详细的博客文章，名为“Behind the Spring Security Namespace”。如果想知道完整的细节，那么代码在Spring Security 3.0发行版中的模块中。您可能应该先阅读标准 Spring Framework 参考文档中有关命名空间解析的章节。spring-security-configSpring中文文档

“ROLE_”是什么意思，为什么我的角色名称需要它？

Spring Security 具有基于投票者的架构，这意味着访问决策是由一系列 s 做出的。投票者对为安全资源指定的“配置属性”（例如方法调用）执行操作。使用这种方法时，并非所有属性都可能与所有选民相关，选民需要知道何时应忽略某个属性（弃权），以及何时应根据属性值投票授予或拒绝访问权限。最常见的投票者是默认情况下，每当它找到带有“ROLE_”前缀的属性时，它就会投票。它将属性（例如“ROLE_USER”）与当前用户已分配的机构名称进行简单比较。如果它找到匹配项（他们有一个名为“ROLE_USER”的权限），它会投票授予访问权限，否则它会投票拒绝访问。AccessDecisionVoterRoleVoterSpring中文文档

可以通过设置的属性来更改前缀。如果只需要在应用程序中使用角色，而不需要其他自定义投票者，则可以将前缀设置为空字符串，在这种情况下，会将所有属性视为角色。rolePrefixRoleVoterRoleVoterSpring中文文档

我如何知道要将哪些依赖项添加到我的应用程序中以使用 Spring Security？

这将取决于您正在使用的功能以及您正在开发的应用程序类型。在 Spring Security 3.0 中，项目 jar 被划分为明显不同的功能区域，因此从应用程序要求中确定需要哪些 Spring Security jar 是很简单的。所有应用程序都需要 jar。如果您正在开发 Web 应用程序，则需要 jar。如果您使用的是安全命名空间配置，则需要 jar，对于 LDAP 支持，您需要 jar，依此类推。spring-security-corespring-security-webspring-security-configspring-security-ldapSpring中文文档

对于第三方罐子来说，情况并不总是那么明显。一个好的起点是从预构建的示例应用程序 WEB-INF/lib 目录之一复制它们。对于基本应用程序，可以从教程示例开始。如果要将 LDAP 与嵌入式测试服务器一起使用，请使用 LDAP 示例作为起点。参考手册还包括一个附录，列出了每个 Spring Security 模块的第一级依赖项，以及有关它们是否可选以及它们需要什么的一些信息。Spring中文文档

如果您使用 maven 构建项目，那么将相应的 Spring Security 模块作为依赖项添加到您的pom.xml将自动拉入框架所需的核心 jar。如果需要，必须在 Spring Security POM 文件中标记为“可选”的任何内容都必须添加到您自己的pom.xml文件中。Spring中文文档

运行嵌入式 ApacheDS LDAP 服务器需要哪些依赖项？

如果您使用的是 Maven，则需要将以下内容添加到您的 pom 依赖项中：Spring中文文档

<dependency>
		<groupId>org.apache.directory.server</groupId>
		<artifactId>apacheds-core</artifactId>
		<version>1.5.5</version>
		<scope>runtime</scope>
</dependency>
<dependency>
		<groupId>org.apache.directory.server</groupId>
		<artifactId>apacheds-server-jndi</artifactId>
		<version>1.5.5</version>
		<scope>runtime</scope>
</dependency>

其他必需的罐子应以传递方式拉入。Spring中文文档

什么是 UserDetailsService，我需要一个吗？

UserDetailsService是一个 DAO 接口，用于加载特定于用户帐户的数据。除了加载该数据以供框架中的其他组件使用之外，它没有其他功能。它不负责对用户进行身份验证。使用用户名/密码组合对用户进行身份验证通常由执行，该注入 a 以允许它加载用户的密码（和其他数据），以便将其与提交的值进行比较。请注意，如果您使用的是 LDAP，则此方法可能不起作用。DaoAuthenticationProviderUserDetailsServiceSpring中文文档

如果要自定义身份验证过程，则应自行实现。有关将 Spring Security 身份验证与 Google App Engine 集成的示例，请参阅此博客文章。AuthenticationProviderSpring中文文档

常见的“Howto”请求

如何添加对额外登录字段的支持（例如公司名称）？Spring中文文档

这个问题在 Spring Security 论坛中反复出现，因此您可以通过搜索存档（或通过谷歌）找到更多信息。Spring中文文档

提交的登录信息由的实例处理。您将需要自定义此类以处理额外的数据字段。一种选择是使用您自己的自定义身份验证令牌类（而不是标准），另一种选择是简单地将额外的字段与用户名连接起来（例如，使用“：”作为分隔符），并将它们传递到 username 属性中。UsernamePasswordAuthenticationFilterUsernamePasswordAuthenticationTokenUsernamePasswordAuthenticationTokenSpring中文文档

您还需要自定义实际的身份验证过程。例如，如果您使用的是自定义身份验证令牌类，则必须编写一个来处理它（或扩展标准）。如果已将字段串联起来，则可以实现自己的字段，从而将它们拆分并加载相应的用户数据以进行身份验证。AuthenticationProviderDaoAuthenticationProviderUserDetailsServiceSpring中文文档

如何应用不同的截距 url 约束，其中只有请求的 URL 的片段值不同（例如 /foo#bar 和 /foo#blah？

您不能这样做，因为片段不会从浏览器传输到服务器。从服务器的角度来看，上面的 URL 是相同的。这是GWT用户的常见问题。Spring中文文档

如何在 UserDetailsService 中访问用户的 IP 地址（或其他 Web 请求数据）？

显然，你不能（不求助于线程局部变量之类的东西），因为提供给接口的唯一信息是用户名。而不是实现，您应该直接实现并从提供的令牌中提取信息。UserDetailsServiceAuthenticationProviderAuthenticationSpring中文文档

在标准 Web 设置中，对象上的方法将返回的实例。如果需要其他信息，可以将自定义注入到正在使用的身份验证筛选器中。如果使用命名空间（例如元素），则应删除此元素并将其替换为指向显式配置的声明。getDetails()AuthenticationWebAuthenticationDetailsAuthenticationDetailsSource<form-login><custom-filter>UsernamePasswordAuthenticationFilterSpring中文文档

如何从 UserDetailsService 访问 HttpSession？

你不能，因为对 servlet API 没有感知。如果要存储自定义用户数据，则应自定义返回的对象。然后，可以在任何时候通过thread-local .对的调用将返回此自定义对象。UserDetailsServiceUserDetailsSecurityContextHolderSecurityContextHolder.getContext().getAuthentication().getPrincipal()Spring中文文档

如果确实需要访问会话，则必须通过自定义 Web 层来完成。Spring中文文档

如何在 UserDetailsService 中访问用户的密码？

你不能（也不应该）。您可能误解了它的目的。请参阅上面的“什么是 UserDetailsService？”。Spring中文文档

如何在应用程序中动态定义受保护的 URL？

人们经常询问如何将安全 URL 和安全元数据属性之间的映射存储在数据库中，而不是存储在应用程序上下文中。Spring中文文档

你应该问自己的第一件事是你是否真的需要这样做。如果应用程序需要保护，则它还要求根据定义的策略对安全性进行彻底测试。在将其推出到生产环境之前，可能需要进行审核和验收测试。一个具有安全意识的组织应该意识到，如果允许在运行时通过更改配置数据库中的一两行来修改安全设置，那么他们勤奋的测试过程的好处可能会立即消失。如果您已经考虑到了这一点（可能在您的应用程序中使用了多层安全性），那么 Spring Security 允许您完全自定义安全元数据的来源。如果您愿意，您可以将其设置为完全动态。Spring中文文档

方法和 Web 安全性都受其子类的保护，其子类配置有从中获取特定方法或过滤器调用的元数据。对于 Web 安全，拦截器类是并且它使用标记接口。它操作的“安全对象”类型是 .使用的默认实现（无论是在命名空间中还是在显式配置拦截器时）将 URL 模式列表及其相应的“配置属性”（实例）列表存储在内存映射中。AbstractSecurityInterceptorSecurityMetadataSourceFilterSecurityInterceptorFilterInvocationSecurityMetadataSourceFilterInvocation<http>ConfigAttributeSpring中文文档

要从替代源加载数据，您必须使用显式声明的安全过滤器链（通常是 Spring Security 的）来定制 bean。不能使用命名空间。然后，您将实现为特定数据加载所需的数据FilterChainProxyFilterSecurityInterceptorFilterInvocationSecurityMetadataSourceFilterInvocation ^[1].一个非常基本的大纲如下所示：Spring中文文档

JavaSpring中文文档
KotlinSpring中文文档

	public class MyFilterSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {

		public List<ConfigAttribute> getAttributes(Object object) {
			FilterInvocation fi = (FilterInvocation) object;
				String url = fi.getRequestUrl();
				String httpMethod = fi.getRequest().getMethod();
				List<ConfigAttribute> attributes = new ArrayList<ConfigAttribute>();

				// Lookup your database (or other source) using this information and populate the
				// list of attributes

				return attributes;
		}

		public Collection<ConfigAttribute> getAllConfigAttributes() {
			return null;
		}

		public boolean supports(Class<?> clazz) {
			return FilterInvocation.class.isAssignableFrom(clazz);
		}
	}

class MyFilterSecurityMetadataSource : FilterInvocationSecurityMetadataSource {
    override fun getAttributes(securedObject: Any): List<ConfigAttribute> {
        val fi = securedObject as FilterInvocation
        val url = fi.requestUrl
        val httpMethod = fi.request.method

        // Lookup your database (or other source) using this information and populate the
        // list of attributes
        return ArrayList()
    }

    override fun getAllConfigAttributes(): Collection<ConfigAttribute>? {
        return null
    }

    override fun supports(clazz: Class<*>): Boolean {
        return FilterInvocation::class.java.isAssignableFrom(clazz)
    }
}

有关详细信息，请查看的代码。DefaultFilterInvocationSecurityMetadataSourceSpring中文文档

如何针对 LDAP 进行身份验证，但从数据库加载用户角色？

bean（在Spring Security中处理正常的LDAP身份验证）配置了两个单独的策略接口，一个执行身份验证，另一个分别加载用户权限，称为和。从 LDAP 目录加载用户权限，并具有各种配置参数，以允许您指定如何检索这些参数。LdapAuthenticationProviderLdapAuthenticatorLdapAuthoritiesPopulatorDefaultLdapAuthoritiesPopulatorSpring中文文档

要改用 JDBC，您可以自己实现接口，使用适合您的模式的任何 SQL：Spring中文文档

JavaSpring中文文档
KotlinSpring中文文档

	public class MyAuthoritiesPopulator implements LdapAuthoritiesPopulator {
		@Autowired
		JdbcTemplate template;

		List<GrantedAuthority> getGrantedAuthorities(DirContextOperations userData, String username) {
			return template.query("select role from roles where username = ?",
					new String[] {username},
					new RowMapper<GrantedAuthority>() {
				 /**
				 *  We're assuming here that you're using the standard convention of using the role
				 *  prefix "ROLE_" to mark attributes which are supported by Spring Security's RoleVoter.
				 */
				@Override
				public GrantedAuthority mapRow(ResultSet rs, int rowNum) throws SQLException {
					return new SimpleGrantedAuthority("ROLE_" + rs.getString(1));
				}
			});
		}
	}

class MyAuthoritiesPopulator : LdapAuthoritiesPopulator {
    @Autowired
    lateinit var template: JdbcTemplate

    override fun getGrantedAuthorities(userData: DirContextOperations, username: String): MutableList<GrantedAuthority?> {
        return template.query("select role from roles where username = ?",
            arrayOf(username)
        ) { rs, _ ->
            /**
             * We're assuming here that you're using the standard convention of using the role
             * prefix "ROLE_" to mark attributes which are supported by Spring Security's RoleVoter.
             */
            SimpleGrantedAuthority("ROLE_" + rs.getString(1))
        }
    }
}

然后，将此类型的 Bean 添加到应用程序上下文中，并将其注入 .这在参考手册的 LDAP 章节中关于使用显式 Spring Bean 配置 LDAP 的部分中进行了介绍。请注意，在这种情况下，不能使用命名空间进行配置。您还应该查阅 Javadoc 以获取相关的类和接口。LdapAuthenticationProviderSpring中文文档

我想修改由命名空间创建的 Bean 的属性，但架构中没有任何东西支持它。

除了放弃命名空间的使用之外，我还能做些什么？Spring中文文档

命名空间功能是有意限制的，因此它不涵盖您可以使用普通 Bean 执行的所有操作。如果你想做一些简单的事情，比如修改一个 bean，或者注入一个不同的依赖项，你可以通过在你的配置中添加一个来做到这一点。更多信息可以在 Spring 参考手册中找到。为了做到这一点，你需要知道一些关于创建了哪些 bean，所以你还应该阅读上面问题中的博客文章，了解命名空间如何映射到 Spring bean。BeanPostProcessorSpring中文文档

通常，您会将所需的功能添加到的方法中。假设您要自定义使用的，（由元素创建）。您希望提取从请求中调用的特定标头，并在对用户进行身份验证时使用它。处理器类如下所示：postProcessBeforeInitializationBeanPostProcessorAuthenticationDetailsSourceUsernamePasswordAuthenticationFilterform-loginCUSTOM_HEADERSpring中文文档

JavaSpring中文文档
KotlinSpring中文文档

public class CustomBeanPostProcessor implements BeanPostProcessor {

		public Object postProcessAfterInitialization(Object bean, String name) {
				if (bean instanceof UsernamePasswordAuthenticationFilter) {
						System.out.println("********* Post-processing " + name);
						((UsernamePasswordAuthenticationFilter)bean).setAuthenticationDetailsSource(
										new AuthenticationDetailsSource() {
												public Object buildDetails(Object context) {
														return ((HttpServletRequest)context).getHeader("CUSTOM_HEADER");
												}
										});
				}
				return bean;
		}

		public Object postProcessBeforeInitialization(Object bean, String name) {
				return bean;
		}
}

class CustomBeanPostProcessor : BeanPostProcessor {
    override fun postProcessAfterInitialization(bean: Any, name: String): Any {
        if (bean is UsernamePasswordAuthenticationFilter) {
            println("********* Post-processing $name")
            bean.setAuthenticationDetailsSource(
                AuthenticationDetailsSource<HttpServletRequest, Any?> { context -> context.getHeader("CUSTOM_HEADER") })
        }
        return bean
    }

    override fun postProcessBeforeInitialization(bean: Any, name: String?): Any {
        return bean
    }
}

然后，您将在应用程序上下文中注册此 Bean。 Spring 将在应用程序上下文中定义的 bean 上自动调用它。Spring中文文档

1. 对象包含，因此您可以获取 URL 或任何其他相关信息，根据这些信息来决定返回的属性列表将包含的内容。FilterInvocationHttpServletRequest