GWT / EXT 中的双重身份验证 + Spring安全应用程序

Question

我在双重身份验证方面遇到问题。我已经通过始终位于顶部的弹出窗口实现了身份验证表单。但我可能遇到拦截器问题，甚至在应用程序启动之前就导致 Tomcat 发出身份验证请求：

http://127.0.0.1:8888 正在请求用户名和密码。 该网站说：“Spring Security 应用程序”

如果我禁用拦截器，我会在日志中看到 SecurityContextHolder 将用户视为匿名。

所以我的问题是： 我可以以某种方式禁用第一个 Tomcat 登录屏幕吗？

我的 Spring 安全配置 XML 是：

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
             xmlns:beans="http://www.springframework.org/schema/beans"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://www.springframework.org/schema/beans 
                                 http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
                                 http://www.springframework.org/schema/security 
                                 http://www.springframework.org/schema/security/spring-security-3.0.xsd">


<authentication-manager alias="authenticationManager">
    <authentication-provider ref="customAuthenticationProvider"/>
</authentication-manager>

<beans:bean id="customAuthenticationProvider" class="com.myCompany.model.security.CustomAuthenticationProvider" >
    <beans:property name="databaseId"    value="${configuration.databaseId}" />
    <beans:property name="applicationId" value="${configuration.applicationId}" />
</beans:bean>

<http auto-config="true" >
        <intercept-url pattern="/myApp/**" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
        <intercept-url pattern="/MyApp.html*" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
        <intercept-url pattern="/gwt/**" access="ROLE_USER"/>
        <intercept-url pattern="/**/*.html" access="ROLE_USER"/>

        <intercept-url pattern="/css/**" filters="none"/>
        <intercept-url pattern="/**" access="ROLE_USER" />

        <http-basic />  
</http>

<global-method-security secured-annotations="enabled" />

</beans:beans>

Answer 1

如果我以正确的方式理解您的问题，您会遇到双重身份验证问题，例如 Tomcat 身份验证或 Apache Basic Auth 和 Spring认证机制。

在上一个项目中，我遇到了与 Apache Basic Auth 和 Spring 安全机制相关的问题。在发布之前，我的任务是通过简单的 Apache Basic Auth 来“保护”对站点的访问。通过在 Apache 配置中启用此功能，Spring 开始执行相同的操作：“Spring Security Application” 一直显示

此解决方案行为是禁用自动配置：

<security:http auto-config="false" ...>
    ...
</security:http>

Answer 2

你的问题不太清楚。您提到了一个 Tomcat 登录屏幕，我假设它是您的 Web 应用程序的第一个屏幕，以允许用户登录。

如果这是正确的，并且您的登录页面被命名为 login.html，那么您所要做的就是配置拦截器以允许匿名访问此页面-

<intercept-url pattern="/**/login.*" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
<intercept-url pattern="/gwt/**" access="ROLE_USER"/>
<intercept-url pattern="/**/*.html" access="ROLE_USER"/>

<intercept-url pattern="/css/**" filters="none"/>
<intercept-url pattern="/**" access="ROLE_USER" />