在 Spring SecurityContextHolder 中存储有关访客的信息

Question

我想添加来宾功能：这意味着来宾是类似于用户的对象，但不是持久的，并且具有ROLE_GUEST 而不是ROLE_USER。我想在会话中存储一个guestID，这样当客人做某事时，我可以检索客人并以客人的名义采取行动。如果我想保留Stateless Servlet，我将如何添加此信息。

我当前的注册用户登录是这样的：

auth = new UsernamePasswordAuthenticationToken(username, password, auths);
Authentication result = authManager.authenticate(auth);
SecurityContextHolder.getContext().setAuthentication(result);

我正在寻找与此类似的东西，或者直接在 SecurityContextHolder.getContext() 中的某处添加来宾名称的方法。我可以获取 spring Session 对象或另一个会话来存储此信息吗？

我没有使用Spring MVC。

Answer 1

您应该使用框架提供的anonymous authentication mechanism 而不是假的UsernamePasswordAuthenticationToken。您可以使用安全命名空间对其进行配置：

<security:http ....>
    ....
    <security:anonymous username="guest" granted-authority="ROLE_GUEST"/>
</security:http>

这将导致AnonymousAuthenticationFilter 将具有提供的名称和角色的AnonymousAuthenticationToken 放入安全上下文中。 （当然，只有在 UsernamePasswordAuthenticationFilter 等其他过滤器无法验证用户身份时才会发生这种情况。）