Как реализовать вход в систему на основе формы с безопасностью Spring в Grails и существующем провайдере oauth2

Немного грустно, что я отвечаю на свой вопрос. Но я хотел посмотреть, является ли мое решение правильным способом решения этой проблемы.

Итак, в итоге мы использовали фильтры. Мы знаем, что в Grails 3 должны быть перехватчики, но перед тем, как приступить к этому, мы просто хотим иметь рабочую версию с фильтрами.

В нашем методе AuthController.signIn мы проходим через процесс аутентификации UsernamePasswordAuthenticationToken и фактически вставляем SecurityContext в сеанс HTTP. Кстати, довольно забавно, что позже я обнаружил, что это на самом деле уже сделано для меня (с использованием ключа «SPRING_SECURITY_CONTEXT») каким-то образом, без необходимости явно указывать session.setAttribute. Мое обоснование заключается в том, что, поскольку SecurityContext аутентифицируется только для этого запроса с использованием UsernamePasswordAuthenticationToken, мне нужно сохранить его в сеансе HTTP, чтобы я мог перезагрузить его для последующих запросов. Итак, в моем фильтре, который я разместил последовательно первым, я проверяю SecurityContext в сеансе HTTP и копирую его «аутентификацию» в текущий SecurityContext. Обратите внимание, что у нас также уже есть фильтр, последовательно размещенный последним, для перенаправления пользователя на страницу входа, если в HTTP-сеансе ничего не было найдено.

С этим изменением мы теперь можем получить доступ к springSecurityService в нашем контроллере, чтобы получить доступ к текущему вошедшему в систему пользователю (раньше мы не могли). И другие приятности, которые мы получаем, включают возможность использовать sec:ifAllGranted на наших страницах GSP. Но что-то по-прежнему невозможно — мы все еще не можем использовать аннотацию @Secured("#oauth2.isUser()") для защиты наших методов контроллера, всегда нажимая 401. Возможно, наше использование UsernamePasswordAuthenticationToken для аутентификации все еще не "полная" аутентификация нам нужна?

Я попытался дальше, запихнув в HTTP-сеанс токен доступа OAuth2 вместо SecurityContext, а в свои фильтры добавив HTTP-заголовок «Авторизация» со значением «Bearer» +accessToken. Это не работает, и предварительное ведение журнала показало, что в одном HTTP-запросе (просмотре страницы) я много раз заходил в свой фильтр, и только в первый раз мне удалось получить токен доступа OAuth2 для помещения в HTTP-заголовки запроса.

Итак, в конце концов, я хотел выяснить, был ли мой описанный выше подход правильным, чтобы использовать фильтры для удержания пользователя на связи в сеансе? Или я должен был сделать это по-другому? Также как я могу защитить свой контроллер с помощью аннотации @Secured?

Интересно, как SO отнесется к этому ответу, учитывая, что я уже дал ответ. Увы, кого это действительно волнует - я все равно задал вопрос в первую очередь.

Через всю документацию, которую я просмотрел, например. Безопасность Grails — справочная документация и Плагин Spring Security Core — справочная документация и Пользовательская аутентификация плагина Grails Spring Security Core и Как настроить страницу входа плагина безопасности Spring в Grails Я смог найти это, хотя мы используем подключаемый модуль Spring Security OAuth2, нам также были предоставлены все возможности, предоставляемые подключаемым модулем Spring Security Core. Это означает, что вход в систему на основе формы поддерживается из коробки, а также поддерживается настраиваемая форма входа.

А с настраиваемой формой входа вместо того, чтобы login.gsp вызывал наш собственный метод signIn AuthController, мы все равно могли бы использовать метод «аутентификации» LoginController (который поставляется с подключаемым модулем Spring Security), используя ${request.contextPath}/ войти/авторизоваться.

Итак, я на самом деле попробовал это, сначала, конечно, отключив наши перехватчики, но затем в итоге получился цикл перенаправления, который заставил браузер вылететь. Я думаю, что нам нужно было выполнить некоторую настройку (с chainMap или фильтрами), которой у нас нет, поэтому она все еще не работает.

Одна вещь, которая помогла, это добавить следующие две строки в grails-app/conf/logback.groovy.

logger 'org.springframework.security', DEBUG, ['STDOUT'], false
logger 'grails.plugin.springsecurity', DEBUG, ['STDOUT'], false

Это дало мне много информации о регистрации, чтобы помочь в отладке. Я почему-то понял, что оно как-то пихнуло мне в запрос анонимный токен, потому что что-то не аутентифицировалось.

Потратив некоторое время на отладку, я наконец обнаружил, что ответ кроется в application.groovy. Проблема, с которой я столкнулся, заключалась в том, что, поскольку все приложения по умолчанию имеют Spring Security filterChain, последняя строка /** соответствует JOINED_FILTERS. И строка, которую мы добавили при установке Spring Security OAuth2 Provider, имеет /** match JOINED_FILTERS минус кучу других фильтров. Эта строка на самом деле правильная, но поскольку мы никогда не удаляли исходную строку /**, а порядок приоритета таков, что одна идет перед этой. Итак, все, что мне нужно было сделать, это удалить первую строку /**, соответствующую JOINED_FILTERS, и теперь вход в систему работает.

В конце строки, которые у нас есть в filterChain:

[pattern: '/rest/**', filters: 'JOINED_FILTERS,-securityContextPersistenceFilter,-logoutFilter,-authenticationProcessingFilter,-rememberMeAuthenticationFilter,-oauth2BasicAuthenticationFilter,-exceptionTranslationFilter'],
// We want all the other resources to be Web-based
[pattern: '/web/**',  filters: 'JOINED_FILTERS,-statelessSecurityContextPersistenceFilter,-oauth2ProviderFilter,-clientCredentialsTokenEndpointFilter,-oauth2BasicAuthenticationFilter,-oauth2ExceptionTranslationFilter'],
// This is just a catch-all that defaults to the same logic as before, it also would match things like /oauth/** or /auth/**
[pattern: '/**',      filters: 'JOINED_FILTERS']

И у нас также есть несколько других конфигураций для переопределений, указывающих на наш собственный AuthController:

grails.plugin.springsecurity.auth.loginFormUrl = '/auth/login' // This is our own Login Form
grails.plugin.springsecurity.failureHandler.defaultFailureUrl = '/auth/login' // Exception message shown in controller
grails.plugin.springsecurity.adh.errorPage = '/auth/denied' // Copied from LoginController