1

У меня в базе имеются таблицы аккаунты и роли. Я хотел бы проверять возможность пользователя с определенной ролью получать необходимый контент. Проблема возникается при использовании системы ролей совместо с JWT.

Если я напишу что-то вроде .antMatchers("/attributes/*").access("hasRole('ROLE_USER')"), то после этого я не смогу получить какую-либо информацию по урлам /attributes/* из-за ошибки 403 Forbidden. И не важно от какого пользователя совершается запрос.

Лог при этом:

2017-06-14 12:58:33.677 DEBUG 30203 --- [nio-7345-exec-2] o.s.b.a.audit.listener.AuditListener     : AuditEvent [timestamp=Wed Jun 14 12:58:33 MSK 2017, principal=test, type=AUTHORIZATION_FAILURE, data={type=org.springframework.security.access.AccessDeniedException, message=Access is denied}]
2017-06-14 12:58:33.678 DEBUG 30203 --- [nio-7345-exec-2] o.s.b.a.e.mvc.EndpointHandlerMapping     : Looking up handler method for path /error
2017-06-14 12:58:33.679 DEBUG 30203 --- [nio-7345-exec-2] o.s.b.a.e.mvc.EndpointHandlerMapping     : Did not find handler method for [/error]

На самом деле мой фильтр AuthenticationFilter совсем не видит ни одной роли и всегда возвращает false: request.isUserInRole("USER"), request.isUserInRole("ROLE_USER"), request.isUserInRole("ADMIN") и т.д..

В своем проекте использую следующую конфигуряцию (Spring Boot 1.5.3.RELEASE):

Класс WebSecurityConfig (common config):

@Configuration @EnableWebSecurity

public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private AccountService accountService;
    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf().disable()
                .formLogin().disable()
                .authorizeRequests()
                .antMatchers("/health").permitAll()
                .antMatchers("/test").permitAll()
                .antMatchers("/login").permitAll()
                .antMatchers("/register").permitAll()
//                .antMatchers("/attributes/*").authenticated()
                .anyRequest().fullyAuthenticated()
                .and()
                .addFilterBefore(new JWTLoginFilter("/login", authenticationManager(), accountService),
                        UsernamePasswordAuthenticationFilter.class)
                .addFilterBefore(new JWTAuthenticationFilter(),
                        UsernamePasswordAuthenticationFilter.class);
    }


    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(authenticationProvider());
    }

    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();
        authenticationProvider.setUserDetailsService(userDetailsService);
        authenticationProvider.setPasswordEncoder(encoder());
        return authenticationProvider;
    }

    @Bean
    public PasswordEncoder encoder() {
        return new BCryptPasswordEncoder(11);
    }

}

Класс JWTLoginFilter:

 public class JWTLoginFilter extends AbstractAuthenticationProcessingFilter {

    private AccountService accountService;

    public JWTLoginFilter(String url, AuthenticationManager authenticationManager, AccountService accountService) {
        super(new AntPathRequestMatcher(url));
        this.accountService = accountService;
        setAuthenticationManager(authenticationManager);
    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)
            throws AuthenticationException, IOException, ServletException {

        AccountCredentials accountCredentials = new ObjectMapper().readValue(request.getInputStream(),
                AccountCredentials.class);

        return getAuthenticationManager().authenticate(
                new UsernamePasswordAuthenticationToken(
                        accountCredentials.getUsername(),
                        accountCredentials.getPassword(),
                        Collections.emptyList()
                )
        );
    }


    @Override
    protected void successfulAuthentication(
            HttpServletRequest request,
            HttpServletResponse response,
            FilterChain chain,
            Authentication auth
    ) throws IOException, ServletException {
        TokenAuthenticationService.addAuthentication(response, auth.getName(), accountService);
    }
}

Класс JWTAuthenticationFilter:

public class JWTAuthenticationFilter extends GenericFilterBean {

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        Authentication authentication = TokenAuthenticationService.getAuthentication((HttpServletRequest) servletRequest);

        SecurityContextHolder.getContext()
                .setAuthentication(authentication);

        filterChain.doFilter(servletRequest, servletResponse);
    }
}

Класс AccountPrincipal:

public class AccountPrincipal implements UserDetails {

    private Account account;

    public AccountPrincipal(Account account) {
        this.account = account;
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        List<SimpleGrantedAuthority> authorities = new ArrayList<>();
        authorities.add(new SimpleGrantedAuthority("ROLE_" + account.getRole().getName().toString()));
        return authorities;
    }

    @Override
    public String getPassword() {
        return account.getPassword();
    }

    @Override
    public String getUsername() {
        return account.getUsername();
    }

    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }
}

Класс AccountCredentials:

@Data
@NoArgsConstructor
@AllArgsConstructor
public class AccountCredentials {

    private String username;
    private String password;

}

Класс TokenAuthenticationService:

@Component
public class TokenAuthenticationService {

    private Logger logger = LoggerFactory.getLogger(TokenAuthenticationService.class);

    static final long EXPIRATIONTIME = 864_000_000; // 10 days

    static String SECRET;

    static final String TOKEN_PREFIX = "Bearer";
    static final String HEADER_STRING = "Authorization";


    private static ObjectMapper mapper = new ObjectMapper();

    static void addAuthentication(HttpServletResponse res, String username, AccountService accountService) {
        String JWT = Jwts.builder()
                .setSubject(username)
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATIONTIME))
                .signWith(SignatureAlgorithm.HS512, SECRET)
                .compact();
        res.addHeader(HEADER_STRING, TOKEN_PREFIX + " " + JWT);
        res.addHeader("Content-Type", "application/json; charset=utf8");

        try {
            Writer writer = res.getWriter();

            Optional<Account> account = accountService.findByUsername(username);
            if (account.isPresent()) {
                mapper.writeValue(writer, new JsonAccount(account.get(), JWT));
            }

        } catch (IOException e) {
            e.printStackTrace();
        }
    }


    static Authentication getAuthentication(HttpServletRequest request) {
        String token = request.getHeader(HEADER_STRING);

        if (token == null) {
            return null;
        } else {
            String user = Jwts.parser()
                    .setSigningKey(SECRET)
                    .parseClaimsJws(token.replace(TOKEN_PREFIX, ""))
                    .getBody()
                    .getSubject();

            return user != null ? new UsernamePasswordAuthenticationToken(user, null, Collections.emptyList())
                    : null;
        }

    }

    @Value("${secret-key}")
    public void setSecret(String secret) {
        SECRET = secret;
    }


    @Data
    private static class JsonAccount implements Serializable {
        private Account account;
        private String id_token;

        public JsonAccount(Account account, String id_token) {
            this.account = account;
            this.id_token = id_token;
        }

        public JsonAccount() {}
    }
}

Класс UserDetailsServiceImpl:

@Service
public class UserDetailsServiceImpl implements UserDetailsService {

    @Autowired
    private AccountService accountService;

    @Override
    public UserDetails loadUserByUsername(String username) {
        Optional<Account> account = accountService.findByUsername(username);

        if (!account.isPresent()) {
            throw new UsernameNotFoundException(username);
        }

        return new AccountPrincipal(account.get());
    }

}

Полный лог типичной ошибки доступа:

************************************************************


2017-06-14 13:29:43.889 DEBUG 30900 --- [nio-7345-exec-1] o.s.b.a.audit.listener.AuditListener     : AuditEvent [timestamp=Wed Jun 14 13:29:43 MSK 2017, principal=test, type=AUTHORIZATION_FAILURE, data={type=org.springframework.security.access.AccessDeniedException, message=Access is denied}]
2017-06-14 13:29:43.893 DEBUG 30900 --- [nio-7345-exec-1] o.s.b.a.e.mvc.EndpointHandlerMapping     : Looking up handler method for path /error
2017-06-14 13:29:43.897 DEBUG 30900 --- [nio-7345-exec-1] o.s.b.a.e.mvc.EndpointHandlerMapping     : Did not find handler method for [/error]
2017-06-14 13:29:49.469  INFO 30900 --- [nio-7345-exec-2] Spring Security Debugger                 : 

************************************************************

Request received for POST '/attributes/hosts':

org.apache.catalina.connector.RequestFacade@14520a7f

servletPath:/attributes/hosts
pathInfo:null
headers: 
host: localhost:7345
connection: keep-alive
content-length: 0
user-agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Ubuntu Chromium/58.0.3029.110 Chrome/58.0.3029.110 Safari/537.36
cache-control: no-cache
origin: chrome-extension://fhbjgbiflinjbdggehcddcbncdddomop
authorization: Bearer eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJ0ZXN0IiwiZXhwIjoxNDk4Mjk1Mzg5fQ.4FryzW2ckZi5P4uankpq4jN_QHN7XVwFeg0QTJVO3w3DMutY4jzpxQqdzQPqy0bVv1Bf-VK8QkRo3ef5YJcXkA
postman-token: 3fe64155-813c-6f78-aba3-ec1c8627ff24
accept: */*
accept-encoding: gzip, deflate, br
accept-language: en-US,en;q=0.8
cookie: JSESSIONID=2396C9392C9B4B60C2B983E8FA63F5DB


Security filter chain: [
  WebAsyncManagerIntegrationFilter
  SecurityContextPersistenceFilter
  HeaderWriterFilter
  LogoutFilter
  JWTLoginFilter
  JWTAuthenticationFilter
  RequestCacheAwareFilter
  SecurityContextHolderAwareRequestFilter
  AnonymousAuthenticationFilter
  SessionManagementFilter
  ExceptionTranslationFilter
  FilterSecurityInterceptor
]


************************************************************

Мое предположения:

Мне кажется, что во всем виновата авторизация через JWT. Токен не содержит роли и поэтому Spring не знаешь где искать ее. Возможно ли как-то это поправить ?

1 ответ 1

1

JWT токен, в вашем случае, содержит в payload только имя пользователя

Jwts.builder()
            .setSubject(username)

И объект Authentication при расшифровке не содержит ни объекта Principal, ни authorities. Правильно делать примерно так:

UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(
            user, null, user.getAuthorities());

Соответственно есть два способа решения проблемы:

  1. Делать self-contained токен(сохранять роли в payload) В TokenAuthenticationService.addAuthentication необходимо передавать Authentication. И объект с пользователем (authentication.getPrincipal()) сериализовать :

    String userInfo = objectMapper.writeValueAsString(user);
    return JWT.create()
                .withIssuer(jwtIssuer)
                .withIssuedAt(new Date())
                .withSubject(userInfo)
    
  2. В токен записывать только идентификатор пользователя, а в приложении по этому идентификатору получать полную информацию о пользователе. Информацию о пользователе можно хранить либо в redis, либо взять протухающий кэш из библиотеки guava

    CacheBuilder.newBuilder()
            .expireAfterAccess(expireTimeInMinutes, TimeUnit.MINUTES)
            .build();
    

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.