Есть костяк приложения, написанный на Spring Boot + Spring Security. При попытке доступа к контроллерам, защищённых с помощью @PreAuthorize
, выбрасывается следующее исключение, которое приводит к генерации ответа HTTP 500:
org.springframework.security.authentication.AuthenticationCredentialsNotFoundException: An Authentication object was not found in the SecurityContext
at org.springframework.security.access.intercept.AbstractSecurityInterceptor.credentialsNotFound(AbstractSecurityInterceptor.java:379) ~[spring-security-core-4.2.1.RELEASE.jar:4.2.1.RELEASE]
at org.springframework.security.access.intercept.AbstractSecurityInterceptor.beforeInvocation(AbstractSecurityInterceptor.java:223) ~[spring-security-core-4.2.1.RELEASE.jar:4.2.1.RELEASE]
at org.springframework.security.access.intercept.aopalliance.MethodSecurityInterceptor.invoke(MethodSecurityInterceptor.java:65) ~[spring-security-core-4.2.1.RELEASE.jar:4.2.1.RELEASE]
at org.springframework.aop.framework.ReflectiveMethodInvocation.proceed(ReflectiveMethodInvocation.java:179) ~[spring-aop-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.aop.framework.CglibAopProxy$DynamicAdvisedInterceptor.intercept(CglibAopProxy.java:656) ~[spring-aop-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at foo.bar.baz.controllers.AuthenticationController$$EnhancerBySpringCGLIB$$6e90741e.getSelf() ~[classes/:na]
at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method) ~[na:1.8.0_65]
at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62) ~[na:1.8.0_65]
at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43) ~[na:1.8.0_65]
at java.lang.reflect.Method.invoke(Method.java:497) ~[na:1.8.0_65]
at org.springframework.web.method.support.InvocableHandlerMethod.doInvoke(InvocableHandlerMethod.java:220) ~[spring-web-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.method.support.InvocableHandlerMethod.invokeForRequest(InvocableHandlerMethod.java:134) ~[spring-web-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.mvc.method.annotation.ServletInvocableHandlerMethod.invokeAndHandle(ServletInvocableHandlerMethod.java:116) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter.invokeHandlerMethod(RequestMappingHandlerAdapter.java:827) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter.handleInternal(RequestMappingHandlerAdapter.java:738) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.mvc.method.AbstractHandlerMethodAdapter.handle(AbstractHandlerMethodAdapter.java:85) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.DispatcherServlet.doDispatch(DispatcherServlet.java:963) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.DispatcherServlet.doService(DispatcherServlet.java:897) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.FrameworkServlet.processRequest(FrameworkServlet.java:970) [spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.FrameworkServlet.doGet(FrameworkServlet.java:861) [spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at javax.servlet.http.HttpServlet.service(HttpServlet.java:622) ~[tomcat-embed-core-8.5.6.jar:8.5.6]
Насколько я помню как должен работать Spring Security в этом случае, я мог бы зарегистрировать фильтр, генерирующий HTTP 401 примерно таким образом:
@Configuration
@EnableWebSecurity
class WebSecurityConfiguration
extends WebSecurityConfigurerAdapter {
...
@Override
protected final void configure(final HttpSecurity httpSecurity)
throws Exception {
httpSecurity.addFilterBefore(authenticationTokenProcessingFilter(), UsernamePasswordAuthenticationFilter.class);
}
...
}
Но по какой-то причине дело даже не доходит к фильтру. Тем не менее, если в тестах аннотировать тесты @WithMockUser
, то @PreAuthorize
работает отлично. После долгих поисков и написания даже спайка, в котором мне, к сожалению, не получилось повторить проблему, я могу только негусто сказать, что проблема возникает только, если даже в "голой" конфигурации присутствует @EnableGlobalMethodSecurity
с prePostEnabled=true
. Отключить не могу -- @PreAuthorize
жизненно нужен. Потратив впустую несколько недель, я ума не приложу, как оно работает в других модулях без проблем, а здесь -- нет. Встречал мнения, что не регистрируется и не срабатывает springSecurityFilterChain
, но, снова же, раньше такого никогда не встречал и вообще затрудняюсь что-либо теперь искать по этому вопросу. Имеются следующие зависимости:
- org.springframework.boot:spring-boot-dependencies:1.4.3.RELEASE:pom
- org.springframework.boot:spring-boot-starter-web:1.4.3.RELEASE
- org.springframework.security:spring-security-config:4.2.1.RELEASE
- org.springframework.security:spring-security-core:4.2.1.RELEASE
- org.springframework.security:spring-security-web:4.2.1.RELEASE
Заранее спасибо за любые наводки или пинок в нужном направлении.
если в тестах аннотировать тесты @WithMockUser, то @PreAuthorize работает отлично
-> а в боевом режиме если пользователь не авторизован, что происходит?