使用ip地址和用户名密码的spring安全认证

Question

我正在使用 loadUserByUsername 方法对用户进行身份验证，但是，我还需要针对允许的 IP 地址进行验证。

但是当我尝试的时候

SecurityContextHolder.getContext().getAuthentication(); 

得到空值。

请指教，我如何在验证用户时访问用户的客户端 IP 地址。

Answer 1

/**
 * IP address based authentication provider
 */
@Service 
public class IPAddressBasedAuthenticationProvider extends AuthenticationProvider {

     @Override
     public Authentication authenticate(Authentication authentication) throws AuthenticationException {

              final WebAuthenticationDetails details = (WebAuthenticationDetails) auth.getDetails();
              details.getRemoteAddress();
    }
}

Answer 2

您正在实现 UserDetailsS​​ervice 的 loadUserByUsername 方法。

根据文档 关于 UserDetailsS​​ervice 经常有一些混淆。它纯粹是用户数据的 DAO，除了将数据提供给框架内的其他组件外，不执行任何其他功能。特别是，它不对用户进行身份验证，这是由 AuthenticationManager 完成的。在许多情况下，如果您需要自定义身份验证过程，直接实现 AuthenticationProvider 会更有意义。

UserDetails userDetails= customUserDetailsService.loadUserByUsername("name"); 

这将给出一个 userDetails 对象。您可以在 loadUserByUsername() 中执行所有与权限相关的代码。如果您想在 Spring Security 中手动设置经过身份验证的用户。按照代码进行操作

 Authentication authentication= new  UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities()) ;  
                SecurityContextHolder.getContext().setAuthentication(authentication);

您将从请求标头中获取 IP 地址。

How can I retrieve IP address from HTTP header in Java

您可以在 spring 安全过滤器链中的某个地方执行此操作。

Answer 3

要解决您的问题，您应该实现自定义身份验证提供程序（可以基于 DaoAuthenticationProvider 或者可以从头开始实现等）。此身份验证提供程序应在身份验证管理器提供程序集中注册。此外，此提供程序将具有自动连接的 HttpServletRequest 类型属性，与上下文 http 请求相关。然后，当您通过该提供程序执行客户端身份验证时，您可以通过调用HttpServletRequest.getRemoteAddr() 来获取用户 IP 地址。 代码：

/**
 * IP address based authentication provider
 */
@Service 
public class IPAddressBasedAuthenticationProvider extends AuthenticationProvider {

     /**
      * Context http request
      */
     @Autowired
     private HttpServletRequest request;

     @Override
     public Authentication authenticate(Authentication authentication) throws AuthenticationException {

         String ipAddress = request.getRemoteAddr();
         //do authentication specific stuff (accessing users table in database, etc.)
         //return created authentication object (if user provided valid credentials)
    }
}

配置：

<security:http auto-config="true" authentication-manager-ref="authenticationManager" use-expressions="true"/>

<bean id="authenticationManager" class="org.springframework.security.authentication.ProviderManager">
 <constructor-arg name="providers">
  <list>
   <ref bean="iPAddressBasedAuthenticationProvider"/>
  </list>
 </constructor-arg>
</bean>

此外，您还可以添加其他身份验证提供程序（如果需要）。 希望这可以帮助。 友情链接：AuthenticationProvider ProviderManager