使用 Spring Security 进行外部身份验证

Question

我们有自己的中央会话管理。一般来说，用户可以使用用户名和密码对其进行身份验证，结果他会得到一个 session_id。所有其他操作都是使用该 session_id 完成的。假设会话管理是通过 XML RPC 访问的。

我有两种情况要实现：

• 用 Spring 制作的中央 Web 应用程序，它有登录表单
• 也是用 Spring 制作的外部 Web 应用程序，它依赖于 仅传递session_id。

关于系统的更多通知：
- session_id 存储在 cookie 中（成功登录后，我必须将 cookie 添加到响应中）
- 每个页面请求都必须检查会话管理系统中的session_id有效性

我对Spring很陌生，所以我很难理解在哪里以及如何实现我的自定义逻辑。

我的问题是：

1. 我必须实现系统的哪些部分才能拥有自己的登录名 逻辑（也必须有权访问响应对象 - 设置 cookie）？ 我尝试了扩展 UsernamePasswordAuthenticationFilter 并实现我自己的方法 AuthenticationManager，但我不确定我是否走对了 方式。

2. 有没有什么地方/如何实现我的“每个请求会话 以 Spring Security 的方式检查”？

Answer 1

• session_id 存储在 cookie 中（成功登录后，我必须将 cookie 添加到响应中）

在配置到 元素中的 AuthenticationSuccessHandler 中执行此操作：

<form-login authentication-success-handler-ref="authenticationSuccessHandler"/>

• 外部 Web 应用程序也制作了在Spring中，它仅依赖于传递的session_id。

创建一个新的过滤器，在其中检查 session_id cookie。如果 cookie 不存在或者无效，则重定向到中央 Web 应用程序以供用户登录。如果 cookie 存在且有效并且用户尚未经过身份验证，则创建一个新的身份验证 并将其添加到SecurityContextHolder。

查看 RememberMeAuthenticationFilter.doFilter() 以获取您想要在过滤器中执行的操作的示例。

使用 元素将此过滤器添加到过滤器链。