1

Сервер на Java (Spring Boot), клиент на React.

Сервер stateless, сессия открывается, но хранится в Redis. Соответственно, всё общение с сервером только по REST. Обычно в таком случае используется базовая аутентификация (передача логина и пароля при каждом запросе), но я пытаюсь сделать аутентификацию на основе cookies.

У меня не получается правильно сконфигурировать Spring Security. Что я хочу:

  1. Единожды отправляю запрос с логином и паролем на эндпоинт сервера /login.
  2. Сервер возвращает куку с идентификатором сессии (при этом он возвращает JSON, в котором будет указано, успешно ли прошла аутентификация).
  3. Клиент спокойно работает, отдавая серверу куку при каждом запросе.

У меня это не получается. Для REST-запросов как правило используют такую конфигурацию:

http
    .httpBasic()

Но так как у меня куки, то конфигурация такая:

http
    .formLogin()
        .loginProcessingUrl("/login")
        .usernameParameter("email")
        .passwordParameter("password")

Такая конфигурация работает и возвращает куку. Но! При этом Spring отправляет мне ещё и свою стандартную форму запроса, которая мне совсем не нужна, так как форма у меня уже есть на стороне клиента (React).

Как я могу оставить аутентификацию по cookies и при этом дать понять Spring, что мне не нужна его форма?

1 ответ 1

1

Эм, или я не понял пунктов, или всё довольно просто:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private DataSource dataSource;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable().cors().disable().authorizeRequests()
                .anyRequest().authenticated()
                .and().formLogin();
    }

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.jdbcAuthentication().dataSource(dataSource);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

При запросе на любой authenticated() метод происходит редирект на formLogin().

При POST /login выдается кука, которая привязывается к сессии.

В примере используется JdbcUserDetailsManagerConfigurer у которого свой провайдер авторизации, но можно свой провайдер добавить:

public class CustomAuthenticationProvider implements AuthenticationProvider {

    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    ...
    }
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(customAuthenticationProvider);
}

Для избавления редиректа можно костыльнуть, задизейблив форму .formLogin().disable() и добавив страницу /auth для анонимов: .antMatchers("/auth").anonymous()

И добавив, например, такой контроллер для авторизации:

@GetMapping("auth")
public String auth(@RequestParam String username, @RequestParam String password) throws Exception {
    try {
        UserDetails userDetails = userDetailsService.loadUserByUsername(username);

        if(passwordEncoder.matches(password, userDetails.getPassword())) {
            UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(username, null, userDetails.getAuthorities());
            authentication.setDetails(userDetails);
            SecurityContextHolder.getContext().setAuthentication(authentication);
        }
        else {
            return "PASSWORD_NOT_MATCHES";
        }
    }
    catch (UsernameNotFoundException ex) {
        return "USER_NOT_FOUND";
    }

    return "OK";
}

Попробуем раскостылить: оставить стандартный механизм авторизации через форму, но без редиректов (уберем редиректы успешной/неуспешной авторизации, редиректы с других страниц):

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable().cors().disable().authorizeRequests()
            .anyRequest()
            .authenticated()
            .and().formLogin()

            .successHandler((httpServletRequest, httpServletResponse, authentication) -> httpServletResponse.setStatus(HttpStatus.OK.value()))
            .failureHandler((httpServletRequest, httpServletResponse, e) -> httpServletResponse.setStatus(HttpStatus.UNAUTHORIZED.value()))

            .and().exceptionHandling()
            .authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/login") {
                @Override
                public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
                    if(authException != null) {
                        response.sendError(HttpStatus.FORBIDDEN.value());
                    }
                }
            });
}
12
  • Так вот как-то можно избежать редиректов? Да и formLogin() форму входа возвращает, а она мне нужна, своя уже есть.
    – Zhenyria
    29 мар 2021 в 9:25
  • @Zhenyria добавил пример как можно самому сделать авторизацию
    – lampa
    29 мар 2021 в 11:28
  • Я тоже дополнил вопрос, чтобы он был понятней... Было бы хорошо, если бы вы посмотрели. Я попробую ваш вариант, но очень странно, что такие вещи решаются только костылями. Почему-то я пока не смог найти адекватное решение, которое оставляло бы весь функционал formLogin() и при этом бы отключало саму форму.
    – Zhenyria
    29 мар 2021 в 12:46
  • 1
    Привет! Я справился, всё работает! Одно но - ваш вариант не совсем подошёл, я нашёл на американском стаке очень похожий вариант, вот он работает. В вашем варианте почему-то @AuthenticationPrincipal возвращал null.
    – Zhenyria
    29 мар 2021 в 19:18
  • 1
    @Zhenyria authenticationEntryPoint вот эта фигня отвечает за редиректы. DefaultLoginPageGeneratingFilter отвечает за фильтрацию запросов на показ формы, но из-за кастомного энтри поинта фильтр до формы не доходит
    – lampa
    31 мар 2021 в 13:35

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.