0

Есть костяк приложения, написанный на Spring Boot + Spring Security. При попытке доступа к контроллерам, защищённых с помощью @PreAuthorize, выбрасывается следующее исключение, которое приводит к генерации ответа HTTP 500:

org.springframework.security.authentication.AuthenticationCredentialsNotFoundException: An Authentication object was not found in the SecurityContext
at org.springframework.security.access.intercept.AbstractSecurityInterceptor.credentialsNotFound(AbstractSecurityInterceptor.java:379) ~[spring-security-core-4.2.1.RELEASE.jar:4.2.1.RELEASE]
at org.springframework.security.access.intercept.AbstractSecurityInterceptor.beforeInvocation(AbstractSecurityInterceptor.java:223) ~[spring-security-core-4.2.1.RELEASE.jar:4.2.1.RELEASE]
at org.springframework.security.access.intercept.aopalliance.MethodSecurityInterceptor.invoke(MethodSecurityInterceptor.java:65) ~[spring-security-core-4.2.1.RELEASE.jar:4.2.1.RELEASE]
at org.springframework.aop.framework.ReflectiveMethodInvocation.proceed(ReflectiveMethodInvocation.java:179) ~[spring-aop-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.aop.framework.CglibAopProxy$DynamicAdvisedInterceptor.intercept(CglibAopProxy.java:656) ~[spring-aop-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at foo.bar.baz.controllers.AuthenticationController$$EnhancerBySpringCGLIB$$6e90741e.getSelf() ~[classes/:na]
at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method) ~[na:1.8.0_65]
at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62) ~[na:1.8.0_65]
at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43) ~[na:1.8.0_65]
at java.lang.reflect.Method.invoke(Method.java:497) ~[na:1.8.0_65]
at org.springframework.web.method.support.InvocableHandlerMethod.doInvoke(InvocableHandlerMethod.java:220) ~[spring-web-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.method.support.InvocableHandlerMethod.invokeForRequest(InvocableHandlerMethod.java:134) ~[spring-web-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.mvc.method.annotation.ServletInvocableHandlerMethod.invokeAndHandle(ServletInvocableHandlerMethod.java:116) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter.invokeHandlerMethod(RequestMappingHandlerAdapter.java:827) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter.handleInternal(RequestMappingHandlerAdapter.java:738) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.mvc.method.AbstractHandlerMethodAdapter.handle(AbstractHandlerMethodAdapter.java:85) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.DispatcherServlet.doDispatch(DispatcherServlet.java:963) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.DispatcherServlet.doService(DispatcherServlet.java:897) ~[spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.FrameworkServlet.processRequest(FrameworkServlet.java:970) [spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at org.springframework.web.servlet.FrameworkServlet.doGet(FrameworkServlet.java:861) [spring-webmvc-4.3.5.RELEASE.jar:4.3.5.RELEASE]
at javax.servlet.http.HttpServlet.service(HttpServlet.java:622) ~[tomcat-embed-core-8.5.6.jar:8.5.6]

Насколько я помню как должен работать Spring Security в этом случае, я мог бы зарегистрировать фильтр, генерирующий HTTP 401 примерно таким образом:

@Configuration
@EnableWebSecurity
class WebSecurityConfiguration
    extends WebSecurityConfigurerAdapter {

...

    @Override
    protected final void configure(final HttpSecurity httpSecurity)
            throws Exception {
        httpSecurity.addFilterBefore(authenticationTokenProcessingFilter(), UsernamePasswordAuthenticationFilter.class);
    }

...

}

Но по какой-то причине дело даже не доходит к фильтру. Тем не менее, если в тестах аннотировать тесты @WithMockUser, то @PreAuthorize работает отлично. После долгих поисков и написания даже спайка, в котором мне, к сожалению, не получилось повторить проблему, я могу только негусто сказать, что проблема возникает только, если даже в "голой" конфигурации присутствует @EnableGlobalMethodSecurity с prePostEnabled=true. Отключить не могу -- @PreAuthorize жизненно нужен. Потратив впустую несколько недель, я ума не приложу, как оно работает в других модулях без проблем, а здесь -- нет. Встречал мнения, что не регистрируется и не срабатывает springSecurityFilterChain, но, снова же, раньше такого никогда не встречал и вообще затрудняюсь что-либо теперь искать по этому вопросу. Имеются следующие зависимости:

  • org.springframework.boot:spring-boot-dependencies:1.4.3.RELEASE:pom
  • org.springframework.boot:spring-boot-starter-web:1.4.3.RELEASE
  • org.springframework.security:spring-security-config:4.2.1.RELEASE
  • org.springframework.security:spring-security-core:4.2.1.RELEASE
  • org.springframework.security:spring-security-web:4.2.1.RELEASE

Заранее спасибо за любые наводки или пинок в нужном направлении.

2
  • 1
    если в тестах аннотировать тесты @WithMockUser, то @PreAuthorize работает отлично -> а в боевом режиме если пользователь не авторизован, что происходит? 29 мар 2017 в 10:03
  • @MrFylypenko Не наводка, но вполне качественный пинок: должен признаться, слишком "увлёкшись" поиском проблемы, не запускал в "боевом" режиме ни разу. Вообще. За всё это время. Если в обычном режиме, тогда всё нормально и '@PreAuthorize' работает так как нужно.
    – lsh
    29 мар 2017 в 10:53

1 ответ 1

2

Жаль, что тонны кода, приведённого в вопросе, не раскрывают суть проблемы, как оказывается. После нескольких экспериментов, по наводке MrFylypenko, я запустил сервер в "производстенном" режиме, и, как оказалось, оно работает. Сужая область "исследований" к тестам, мне пришлось проверить, всё ли правильно проаннотированно, включая @WithSecurityContextTestExecutionListener, подобно тому, как работают другие модули, на которые я ссылался в вопросе. И тогда меня посетила мысль, что минимальная область действия тестовых слушателей -- это сам тест, и скорее всего MockMvc, который я не включил в вопрос, не настроен надлежащим образом. И как оказалось, так и есть, потому что в одном из базовых классов он инициализировался так:

mvc = webAppContextSetup(webApplicationContext)
    .build();

Это и была причина, потому что экземпляры MockMvc также должны быть корректно настроены:

mvc = webAppContextSetup(webApplicationContext)
    .apply(springSecurity()) // не работало из-за отсутствия этой строки
    .build();

Хороший пример не доверять правилу "аннотации сами всё сделают за тебя". К сожалению, было потрачена уйма времени из-за чудовищной невнимательности, но я рад, что наконец-то нашёл причину.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.