在弹簧安全过滤器链之前评估Web服务拦截器

Question

我有一个基于SOAP的Web服务应用程序，该应用程序正在利用 Spring Web Services（和Spring WS Security（和Spring WS Security）以及 Spring Security 。我正在使用自定义 AbstractwssecurityInterceptor 验证传入的请求（使用注射authenticationManager），并将成功的身份验证添加到SecurityContext。然后，我拥有一个自定义的ACESSDECISIONMANAGER，它使用自定义的WebsecurityExpressionHandler来验证Interceptor添加到上下文中的主属性的某个属性。

以下是我的配置文件的外观：

securityConfig.java：

@Getter
@Setter
@Configuration
@RequiredArgsConstructor
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private final AccessDecisionManager customAccessDecisionManager;

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.
                cors()
                .and().csrf().disable()
                .authorizeRequests()
                .accessDecisionManager(customAccessDecisionManager)
                .antMatchers(GET, "/actuator/**").permitAll()
                .anyRequest().access("customAccessMethod()")
                .and().sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

}

webServiceConfig.java：

@EnableWs
@Configuration
@RequiredArgsConstructor
public class WebServiceConfig extends WsConfigurerAdapter {

    private final AuthenticationManager authenticationManager;

    @Bean
    public ServletRegistrationBean<MessageDispatcherServlet> messageDispatcherServlet(ApplicationContext applicationContext) {
        MessageDispatcherServlet servlet = new MessageDispatcherServlet();
        servlet.setApplicationContext(applicationContext);
        servlet.setTransformWsdlLocations(true);
        return new ServletRegistrationBean<>(servlet, "/ws/*");
    }

    ...

    ...


    @Bean
    AbstractWsSecurityInterceptor customAuthenticationInterceptor() {

        return new CustomAuthenticationInterceptor(authenticationManager);
    }

    @Override
    public void addInterceptors(List<EndpointInterceptor> interceptors) {

        interceptors.add(customAuthenticationInterceptor());
    }

}

此设置的问题是首先评估了弹簧安全过滤器链，并且未能使身份验证失败，因为在请求之前对AccessDecisionManager进行了评估，要输入自定义AbstractwsSecurityInterceptor，然后将身份验证放在SecurityContext中。

是否有任何方法可以评估Web服务上的请求和WS安全方面的拦截器和处理。这是可能的吗？

预先感谢您的帮助！