Spring Boot 2 安全性 - 预验证令牌 - 允许健康检查

Question

我的 Spring Boot Actuator healthCheck 由于缺少 (pre_authenticated) 令牌而被阻止。

有很多可用的答案，但这个问题会干扰预验证的安全性。据我搜索，这 不是重复的 。

如何在预认证的安全环境中允许健康检查？

我的问题也是，我是否需要更多设置（例如 application.properties）？

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private static final Logger logger = LoggerFactory.getLogger(SecurityConfig.class);

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) {
        PreAuthenticatedAuthenticationProvider provider = new PreAuthenticatedAuthenticationProvider();
        provider.setPreAuthenticatedUserDetailsService(new XyzPreAuthenticatedGrantedAuthoritiesUserDetailsService());
        auth.authenticationProvider(provider);
    }

    // Try-1, see below
    @Override
    protected void configure(HttpSecurity http) throws Exception {
      http.addFilterBefore(xyzTokenRequestHeaderAuthenticationFilter(), RequestHeaderAuthenticationFilter.class)
        .csrf().disable()
        .authorizeRequests()
        .antMatchers("/actuator/**").permitAll()
        .anyRequest().authenticated();
    }

    @Bean
    public XyzTokenRequestHeaderAuthenticationFilter xyzTokenRequestHeaderAuthenticationFilter() throws Exception {
        XyzTokenRequestHeaderAuthenticationFilter filter = new XyzTokenRequestHeaderAuthenticationFilter();
        filter.setAuthenticationManager(authenticationManager());
        return filter;
    }
}

我的第二次尝试是：

@Override
protected void configure(HttpSecurity http) throws Exception {
  http.addFilterBefore(xyzTokenRequestHeaderAuthenticationFilter(), RequestHeaderAuthenticationFilter.class)
    .csrf().disable()
    .authorizeRequests()
    .antMatchers("/actuator/**").permitAll();
}

Answer 1

尝试在 .ignoring() 中添加并在 class

中添加 @EnableGlobalMethodSecurity(prePostEnabled = true)、@Configuration

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter implements WebMvcConfigurer{

 @Override
    public void configure(WebSecurity web) throws Exception {
        web
          .ignoring()
            .antMatchers("/actuator/**");
    }

     @Override
        protected void configure(HttpSecurity http) throws Exception {
          http
            .csrf().disable()
            .authorizeRequests()
            .antMatchers("/actuator/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .addFilterBefore(xyzTokenRequestHeaderAuthenticationFilter(), RequestHeaderAuthenticationFilter.class);
        }

}

Answer 2

问题似乎与您的 XyzTokenRequestHeaderAuthenticationFilter 实施有关。如果您通过扩展 RequestHeaderAuthenticationFilter 来编写它，那么您必须将属性 exceptionIfHeaderMissing 设置为 false。

如果您没有扩展 Spring 安全预授权核心 class 那么您需要展示实现。

Answer 3

看起来 xyz 过滤器没有以 'perfect' 方式实现。

这种方式可以帮助您正常工作：

1 - 使用管理端口：

management.server.port=8081
management.security.enabled=false
management.server.address=127.0.0.1
management.server.ssl.enabled=false
management.endpoints.health.sensitive=false
management.endpoint.health.show-details=always

2 - 配置 Web 和 api。使用这个超出标准件：

@Override
protected void configure(HttpSecurity http) throws Exception {
  http.sessionManagement().sessionCreationPolicy(STATELESS);
  http.csrf().disable();
  http.authorizeRequests()
    .antMatchers("/actuator/**").permitAll()
    .antMatchers("/**").authenticated();
  http.addFilterBefore(xyzTokenRequestHeaderAuthenticationFilter(), AbstractPreAuthenticatedProcessingFilter.class);
}

@Override
public void configure(WebSecurity web) throws Exception {
  web.ignoring().antMatchers("/actuator/**");
}

3 - 在 Docker 容器内，使用 8081 端口进行健康检查。

Spring Boot 2 安全性 - 预验证令牌 - 允许健康检查

Spring Boot 2 security - pre-authenticated token - allow healthcheck

java

spring

spring-security

spring-boot

spring-boot-actuator