如何在 Spring WebFlux 中获取当前经过身份验证的用户

Question

我正在尝试检索身份验证对象，该对象创建用户名和权限。 我知道在 WebFlux 中我不能使用 SecurityContextHolder.getContext()，而是必须使用 ReactiveSecurityContextHolder.getContext()

但在这两种情况下，结果均为 null。

        val autx = ReactiveSecurityContextHolder.getContext()
            .map(SecurityContext::getAuthentication) // always null

或者

        val auth = ReactiveSecurityContextHolder.getContext().filter { it.authentication != null }
            .map { it.authentication.principal }.block() // always null

我理解，在从 ReactiveSecurityContextHolder 检索 auth 对象之前，必须有人将其放入其中。找不到任何示例如何执行此操作以及应在代码中的何处填充它。 理想情况下，我认为它应该在authenticate方法中的ReactiveAuthenticationManager实现中。
我将其添加到authenticate方法中：

                ReactiveSecurityContextHolder.getContext()
                    .map { context: SecurityContext ->
                        context.authentication.principal
                    }
                    .cast(UserData::class.java)
                    .contextWrite(ReactiveSecurityContextHolder.withAuthentication(authentication))
                    .subscribe()

但它不会改变任何

Java或Kotlin上的工作示例值得赞赏的

配置：

@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
    return http.authorizeExchange()
        .pathMatchers("**/health").permitAll()
        .pathMatchers("/**").authenticated()
        .anyExchange().authenticated()
        .and()
        .authenticationManager(authenticationManager) // ReactiveAuthenticationManager impl
        .securityContextRepository(securityContextRepository)
        .csrf().disable()
        .cors().configurationSource(corsConfig())
        .and()
        .build()
}

上下文存储库：

@Component
class SecurityContextRepository(
    val authenticationManager: ReactiveAuthenticationManager
) : ServerSecurityContextRepository {

    override fun save(swe: ServerWebExchange, sc: SecurityContext): Mono<Void> {
        throw UnsupportedOperationException("SecurityContext save not supported")
        // if i want to save, what should be there? 
    }

    override fun load(serverExchange: ServerWebExchange): Mono<SecurityContext> {
        val authHeader = serverExchange.request.headers.getFirst(HttpHeaders.AUTHORIZATION)
        val preAuthentication = PreAuthenticatedAuthenticationToken(null, authHeader)
        return this.authenticationManager.authenticate(preAuthentication)
            .map { authentication -> SecurityContextImpl(authentication) }
    }
}

Answer 1

您需要使用 SecurityWebFilterChain bean 定义 WebFlux 安全配置。以下是 OAuth 2.0 资源服务器的示例：

@Bean
public SecurityWebFilterChain apiSecurity(ServerHttpSecurity http) {
    http.authorizeExchange()
            .pathMatchers("/api/**").hasAuthority("SCOPE_api")
            .anyExchange().authenticated()
            .and()
            .oauth2ResourceServer()
            .jwt();
    return http.build();
}

您可以在此处找到更多详细信息 WebFlux 安全