如何为 Spring Security 启用日志记录？

Question

我正在设置 Spring Security 来处理登录用户。我已经以用户身份登录，并在成功登录后被带到拒绝访问错误页面。我不知道我的用户实际上被分配了哪些角色，或者导致访问被拒绝的规则，因为我不知道如何为 Spring Security 库启用调试。

我的安全 xml：

<?xml version="1.0" encoding="UTF-8"?>
<beans ... >
    <!-- security -->

    <security:debug/><!-- doesn't seem to be working -->

    <security:http auto-config="true">

        <security:intercept-url pattern="/Admin**" access="hasRole('PROGRAMMER') or hasRole('ADMIN')"/>
        <security:form-login login-page="/Load.do"
            default-target-url="/Admin.do?m=loadAdminMain"
            authentication-failure-url="/Load.do?error=true"
            username-parameter="j_username"
            password-parameter="j_password"
            login-processing-url="/j_spring_security_check"/>
        <security:csrf/><!-- enable Cross Site Request Forgery protection -->
    </security:http>

    <security:authentication-manager>
        <security:authentication-provider>
            <security:jdbc-user-service data-source-ref="loginDataSource"
                users-by-username-query="SELECT username, password, active FROM userinformation WHERE username = ?"
                authorities-by-username-query="
                    SELECT ui.username, r.rolename 
                    FROM role r, userrole ur, userinformation ui 
                    WHERE ui.username=? 
                    AND ui.userinformationid = ur.userinformationid 
                    AND ur.roleid = r.roleid "
            />
            <security:password-encoder hash="md5"/>
        </security:authentication-provider>
    </security:authentication-manager>
</beans>

我也尝试将log4j.logger.org.springframework.security=DEBUG 添加到我的 log4j.properties

如何获取 Spring Security 的调试输出？

Answer 1

假设您使用的是 Spring Boot，另一种选择是将以下内容放入您的 application.properties:

logging.level.org.springframework.security=DEBUG

大多数其他 Spring 模块也是如此。

如果您不使用 Spring Boot，请尝试在日志记录配置中设置属性，例如回退。

这也是 application.yml 版本：

logging:
  level:
    org:
      springframework:
        security: DEBUG

Answer 2

您可以使用@EnableWebSecurity 注释的选项轻松启用调试支持：

@EnableWebSecurity(debug = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    …
}

Answer 3

使用Spring的DebugFilter进行基本调试可以这样配置：

@EnableWebSecurity
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.debug(true);
    }
}

Answer 4

您可以使用@EnableWebSecurity 注解的选项轻松启用调试支持：

@EnableWebSecurity(debug = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    …
}

如果您需要在您的 application-{profile}.properties 文件中进行配置文件特定的控制

org.springframework.security.config.annotation.web.builders.WebSecurity.debugEnabled=false

获取详细帖子：http://www.bytefold.com/enable-disable-profile-specific-spring-security-debug-flag/

Answer 5

我们总是可以通过以下配置检查 Spring Security 中注册的过滤器

1. @EnableWebSecurity(debug=true) - 我们需要启用安全细节的调试
2. 通过在 application.properties logging.level.org.springframework.security.web.FilterChainProxy=DEBUG 中添加以下属性来启用详细信息的日志记录

下面提到一些在身份验证流程中执行的 Spring Security 内部过滤器：

Security filter chain: [
  CharacterEncodingFilter
  WebAsyncManagerIntegrationFilter
  SecurityContextPersistenceFilter
  HeaderWriterFilter
  CsrfFilter
  LogoutFilter
  X509AuthenticationFilter
  UsernamePasswordAuthenticationFilter
  RequestCacheAwareFilter
  SecurityContextHolderAwareRequestFilter
  RememberMeAuthenticationFilter
  AnonymousAuthenticationFilter
  SessionManagementFilter
  ExceptionTranslationFilter
  FilterSecurityInterceptor
]

Answer 6

现在可以从 5.4.0-M2 版本开始为 webflux 反应式应用程序提供 Spring 安全日志记录（正如 @bzhu 在评论 How do I enable logging for Spring Security? 中提到的那样）

直到它进入 GA 版本，这里是如何在 gradle 中获得这个里程碑版本

repositories {
    mavenCentral()
    if (!version.endsWith('RELEASE')) {
        maven { url "https://repo.spring.io/milestone" }
    }
}

// Force earlier milestone release to get securing logging preview
// https://docs.spring.io/spring-security/site/docs/current/reference/html5/#getting-gradle-boot
// https://github.com/spring-projects/spring-security/pull/8504
// https://github.com/spring-projects/spring-security/releases/tag/5.4.0-M2
ext['spring-security.version']='5.4.0-M2'
dependencyManagement {
    imports {
        mavenBom "org.springframework.cloud:spring-cloud-dependencies:${springCloudVersion}"
    }

}