是在这个当中实现的package com.open.capacity.server.config; import com.open.capacity.props.PermitUrlProperties; import com.open.capacity.server.handler.OauthLogoutHandler; import com.open.capacity.server.mobile.app.PhoneOrAccountAuthenticationSecurityConfig; import com.open.capacity.server.mobile.wechat.UnionIdAuthenticationSecurityConfig; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.context.properties.EnableConfigurationProperties; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.http.HttpStatus; import org.springframework.security.authentication.AuthenticationManager; import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.builders.WebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.config.http.SessionCreationPolicy; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.crypto.password.PasswordEncoder; import org.springframework.security.oauth2.common.exceptions.UnapprovedClientAuthenticationException; import org.springframework.security.web.AuthenticationEntryPoint; import org.springframework.security.web.authentication.AuthenticationFailureHandler; import org.springframework.security.web.authentication.AuthenticationSuccessHandler; import org.springframework.security.web.authentication.logout.HttpStatusReturningLogoutSuccessHandler; import javax.annotation.Resource; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; import java.io.IOException; import java.util.ArrayList; import java.util.List; import static org.apache.commons.lang3.StringUtils.isEmpty; /** * spring security配置 * * @author owen [email protected] * @version 创建时间：2017年11月12日 上午22:57:51 2017年10月16日 * 在WebSecurityConfigurerAdapter不拦截oauth要开放的资源 */ @Configuration //@EnableWebSecurity //@EnableGlobalMethodSecurity(prePostEnabled = true) @EnableConfigurationProperties(PermitUrlProperties.class) public class SecurityConfig extends WebSecurityConfigurerAdapter { @Autowired private AuthenticationSuccessHandler authenticationSuccessHandler; @Autowired private AuthenticationFailureHandler authenticationFailureHandler; // @Autowired // private LogoutSuccessHandler logoutSuccessHandler; @Autowired(required = false) private AuthenticationEntryPoint authenticationEntryPoint; @Resource private UserDetailsService userDetailsService; @Autowired private PasswordEncoder passwordEncoder; @Autowired private OauthLogoutHandler oauthLogoutHandler; @Autowired private PermitUrlProperties permitUrlProperties ; @Autowired private ValidateCodeSecurityConfig validateCodeSecurityConfig ; @Autowired private PhoneOrAccountAuthenticationSecurityConfig phoneOrAccountAuthenticationSecurityConfig; @Autowired private UnionIdAuthenticationSecurityConfig unionIdAuthenticationSecurityConfig; @Override public void configure(WebSecurity web) throws Exception { web.ignoring().antMatchers("/v2/api-docs", "/configuration/ui", "/swagger-resources", "/configuration/security", "/swagger-ui.html", "/webjars/**", "/doc.html", "/login.html"); web.ignoring().antMatchers("/js/**"); web.ignoring().antMatchers("/css/**"); web.ignoring().antMatchers("/health"); // 忽略登录界面 web.ignoring().antMatchers("/login.html"); web.ignoring().antMatchers("/index.html"); web.ignoring().antMatchers("/oauth/user/token"); web.ignoring().antMatchers("/oauth/client/token"); web.ignoring().antMatchers("/validata/code/**"); web.ignoring().antMatchers(permitUrlProperties.getIgnored()); } /** * 认证管理 * * @return 认证管理对象 * @throws Exception * 认证异常信息 */ @Override @Bean public AuthenticationManager authenticationManagerBean() throws Exception { return super.authenticationManagerBean(); } @Override /*protected void configure(HttpSecurity http) throws Exception { http.csrf().disable(); http.authorizeRequests() .anyRequest().authenticated(); http.formLogin().loginPage("/login.html").loginProcessingUrl("/user/login") .successHandler(authenticationSuccessHandler).failureHandler(authenticationFailureHandler); http.logout().logoutSuccessUrl("/login.html") .logoutSuccessHandler(new HttpStatusReturningLogoutSuccessHandler()) .addLogoutHandler(oauthLogoutHandler).clearAuthentication(true); //增加验证码处理 http.apply(validateCodeSecurityConfig) .and() // http.logout().logoutUrl("/logout").logoutSuccessHandler(logoutSuccessHandler); .apply(phoneOrAccountAuthenticationSecurityConfig) .and() .apply(unionIdAuthenticationSecurityConfig) .and() .csrf().disable(); // 解决不允许显示在iframe的问题 http.headers().frameOptions().disable(); http.headers().cacheControl(); // 基于密码 等模式可以无session,不支持授权码模式 if (authenticationEntryPoint != null) { http.exceptionHandling().authenticationEntryPoint(authenticationEntryPoint); http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); } else { // 授权码模式单独处理，需要session的支持，此模式可以支持所有oauth2的认证 http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED); } }*/ protected void configure(HttpSecurity http) throws Exception { http.csrf().disable(); http.authorizeRequests() .anyRequest().authenticated() .and() .exceptionHandling() .authenticationEntryPoint((request, response, authException) -> { // 检查是否为需要校验参数的请求 if (isTokenRequest(request)) { // 检查所有参数，收集所有缺失参数的错误 List<String> errorMessages = checkAllParams(request); if (!errorMessages.isEmpty()) { // 参数缺失，返回400错误 sendErrorResponse(response, HttpStatus.BAD_REQUEST, String.join("; ", errorMessages)); return; } } }); // 配置表单登录，但禁用默认的登录页面跳转 http.formLogin() .loginProcessingUrl("/user/login") .successHandler(authenticationSuccessHandler) .failureHandler(authenticationFailureHandler) .permitAll() .and() .logout() .logoutSuccessUrl("/login.html") .logoutSuccessHandler(new HttpStatusReturningLogoutSuccessHandler()) .addLogoutHandler(oauthLogoutHandler) .clearAuthentication(true); // 应用自定义安全配置 http.apply(validateCodeSecurityConfig) .and() .apply(phoneOrAccountAuthenticationSecurityConfig) .and() .apply(unionIdAuthenticationSecurityConfig); // 解决不允许显示在iframe的问题 http.headers().frameOptions().disable(); http.headers().cacheControl(); // 对所有请求使用无状态会话策略 http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); } /** * 判断是否为获取token的请求 */ private boolean isTokenRequest(HttpServletRequest request) { return "/oauth/app/verifyCode/token".equals(request.getRequestURI()) && "POST".equalsIgnoreCase(request.getMethod()); } /** * 检查所有参数，返回所有缺失参数的错误信息列表 */ private List<String> checkAllParams(HttpServletRequest request) { List<String> errors = new ArrayList<>(); if (isEmpty(request.getParameter("phoneOrAccount"))) { errors.add("账号不能为空"); } if (isEmpty(request.getParameter("accountType"))) { errors.add("账号类型不能为空"); } if (isEmpty(request.getParameter("deviceCode"))) { errors.add("机器码不能为空"); } if (isEmpty(request.getParameter("code"))) { errors.add("图形验证码不能为空"); } if (isEmpty(request.getParameter("verifyCode"))) { errors.add("短信验证码不能为空"); } return errors; } /** * 检查字符串是否为空 */ private boolean isEmpty(String value) { return value == null || value.trim().isEmpty(); } /** * 发送错误响应 */ private void sendErrorResponse(HttpServletResponse response, HttpStatus status, String message) throws IOException { response.setContentType("application/json;charset=UTF-8"); response.setStatus(status.value()); response.getWriter().write("{\"resp_code\":" + status.value() + ",\"rsp_msg\":\"" + message + "\",\"datas\":null}"); } /** * 全局用户信息 * * @param auth * 认证管理 * @throws Exception * 用户认证异常信息 */ @Autowired public void globalUserDetails(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder); } }

<think>我们希望在SpringSecurity的配置中，不使用过滤器，而是利用现有的认证流程来实现参数校验。根据之前的讨论，我们可以通过自定义认证提供者（AuthenticationProvider）来实现动态参数校验，并将其集成到认证流程中。但是用户希望在configure方法中修改，而configure方法主要是配置HTTP安全。然而，仔细分析需求：用户希望修改`configure(HttpSecurityhttp)`方法，在其中加入参数校验逻辑，并且不使用过滤器。在之前的代码中，用户尝试在`authenticationEntryPoint`中处理，但这里处理的是认证入口点，主要用于处理未认证的请求，并不适合处理认证过程中的参数校验。实际上，参数校验应该发生在认证过程中。因此，我们需要将参数校验逻辑放在认证提供者（AuthenticationProvider）中，然后在配置中注册这个认证提供者。但是，用户明确要求修改configure方法，而不使用过滤器。另一种思路：我们可以利用SpringSecurity的`AbstractAuthenticationProcessingFilter`，但用户要求不使用过滤器。所以我们需要在认证处理中嵌入参数校验。考虑到用户已经有一个`configure`方法，我们可以这样调整：1.创建一个自定义的`AuthenticationProvider`（如之前所述），在其中进行参数校验。2.在`configure(AuthenticationManagerBuilderauth)`方法中注册这个认证提供者。3.在`configure(HttpSecurityhttp)`方法中，配置表单登录时指定认证处理URL，并设置成功和失败处理器。但是，用户可能没有提供`configure(AuthenticationManagerBuilderauth)`方法，或者希望全部在`configure(HttpSecurityhttp)`中完成。实际上，我们可以在`configure(HttpSecurityhttp)`中通过`authenticationProvider`方法设置自定义的认证提供者。但是，这个方法需要我们先获取`AuthenticationManager`，然后在`HttpSecurity`中设置。然而，根据SpringSecurity的配置，我们通常这样设置：```java@Overrideprotectedvoidconfigure(AuthenticationManagerBuilderauth){auth.authenticationProvider(customAuthProvider);}```但用户可能希望全部在同一个configure方法中完成。我们可以通过以下方式在`configure(HttpSecurityhttp)`中设置认证提供者：```javahttp.authenticationProvider(customAuthProvider);```因此，我们可以这样修改：步骤：1.创建自定义认证提供者（实现`AuthenticationProvider`接口），在`authenticate`方法中进行参数校验，如果校验失败，抛出自定义的`AuthenticationException`。2.在配置类中注入这个自定义认证提供者。3.在`configure(HttpSecurityhttp)`方法中，使用`http.authenticationProvider`注册这个提供者。4.配置`failureHandler`来处理认证失败，包括我们自定义的参数校验异常。但是，用户当前的配置中已经使用了多个`apply`方法添加了其他安全配置，并且配置了表单登录。我们不需要改变这些，只需要增加一个自定义的认证提供者，并在认证失败处理器中处理我们的异常。具体实现：首先，创建自定义认证异常类：```javapublicclassParamAuthenticationExceptionextendsAuthenticationException{publicParamAuthenticationException(Stringmsg){super(msg);}}```然后，创建自定义认证提供者。注意，这个认证提供者应该只对特定的登录请求（即获取token的请求）进行参数校验。我们可以通过请求的URI来判断。```java@ComponentpublicclassParamCheckAuthenticationProviderimplementsAuthenticationProvider{@OverridepublicAuthenticationauthenticate(Authenticationauthentication)throwsAuthenticationException{//获取当前请求HttpServletRequestrequest=((ServletRequestAttributes)RequestContextHolder.getRequestAttributes()).getRequest();//如果是获取token的请求，则进行参数校验if("/oauth/app/verifyCode/token".equals(request.getRequestURI())&&"POST".equalsIgnoreCase(request.getMethod())){List<String>errors=checkAllParams(request);if(!errors.isEmpty()){thrownewParamAuthenticationException(String.join(";",errors));}}//如果不是这个请求，或者参数校验通过，则返回null，由后续的认证提供者处理returnnull;}privateList<String>checkAllParams(HttpServletRequestrequest){//同用户提供的checkAllParams方法List<String>errors=newArrayList<>();//...检查各个参数returnerrors;}@Overridepublicbooleansupports(Class<?>authentication){//这里我们支持所有类型的认证，因为我们只是做参数校验，不实际进行认证，所以返回true//但实际上，我们只希望它在登录请求时被调用，所以这里可以指定为支持某种类型的token//例如，如果登录使用的是UsernamePasswordAuthenticationToken，则：returnUsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication);}}```然后，在安全配置类中注入这个认证提供者，并在`configure(HttpSecurityhttp)`方法中注册：```java@AutowiredprivateParamCheckAuthenticationProviderparamCheckAuthenticationProvider;@Overrideprotectedvoidconfigure(HttpSecurityhttp)throwsException{http.csrf().disable();//先注册认证提供者http.authenticationProvider(paramCheckAuthenticationProvider);http.authorizeRequests().anyRequest().authenticated().and().exceptionHandling().authenticationEntryPoint((request,response,authException)->{//这里处理的是未认证的情况，我们之前是在这里做参数校验，现在移到了认证提供者中//所以这个入口点可能不再需要参数校验的逻辑，但可以保留其他处理//比如，如果是未认证，返回401等response.sendError(HttpStatus.UNAUTHORIZED.value(),authException.getMessage());});//配置表单登录http.formLogin().loginProcessingUrl("/user/login").successHandler(authenticationSuccessHandler).failureHandler((request,response,exception)->{//这里处理认证失败，包括我们的参数校验失败if(exceptioninstanceofParamAuthenticationException){//参数缺失，返回400错误sendErrorResponse(response,HttpStatus.BAD_REQUEST,exception.getMessage());}else{//其他认证失败，使用原来的failureHandlerauthenticationFailureHandler.onAuthenticationFailure(request,response,exception);}}).permitAll().and().logout().logoutSuccessUrl("/login.html").logoutSuccessHandler(newHttpStatusReturningLogoutSuccessHandler()).addLogoutHandler(oauthLogoutHandler).clearAuthentication(true);//应用自定义安全配置http.apply(validateCodeSecurityConfig).and().apply(phoneOrAccountAuthenticationSecurityConfig).and().apply(unionIdAuthenticationSecurityConfig);http.headers().frameOptions().disable();http.headers().cacheControl();http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);}```注意：在`failureHandler`中，我们处理了自定义的参数校验异常（`ParamAuthenticationException`），返回400错误。其他认证异常则使用原来的`authenticationFailureHandler`处理。这样，我们就实现了在认证流程中加入参数校验，而没有使用额外的过滤器。我们利用了SpringSecurity的认证提供者机制，在认证过程中进行参数校验，并通过认证失败处理器返回错误信息。但是，这里有一个注意点：自定义的认证提供者`ParamCheckAuthenticationProvider`会被加入到认证管理器的认证提供者列表中。它会在每个认证请求中被调用。我们通过判断请求URI来限定只对特定的登录请求进行校验。对于其他请求，它直接返回null，表示无法处理，这样就会由后续的认证提供者处理。另外，由于我们使用了`RequestContextHolder`来获取当前请求，这要求该认证提供者必须在请求线程中调用。SpringSecurity的认证是在请求线程中进行的，所以是安全的。总结：我们通过自定义认证提供者实现参数校验，并将其注册到SpringSecurity的认证流程中。在认证失败处理器中处理自定义异常，返回相应的错误信息。这样修改了`configure`方法（在其中注册了认证提供者并调整了失败处理器），但没有使用额外的过滤器。如果用户希望避免创建新的类，也可以考虑使用匿名内部类，但这样会导致配置类臃肿。因此，这里还是推荐使用单独的类。另外，用户原来的`isTokenRequest`和`checkAllParams`方法可以移到自定义认证提供者中使用。最后，确保在认证提供者的`supports`方法中正确返回，以匹配登录请求使用的认证令牌类型（例如`UsernamePasswordAuthenticationToken`）。这样，只有使用这种令牌的认证请求才会被该认证提供者处理（即登录请求）。这样修改后，当访问获取token的接口时，会先执行参数校验，如果参数缺失，则抛出异常，由失败处理器返回400错误。相关问题：1.如何为不同的登录端点配置不同的参数校验规则？2.在SpringSecurity中，认证提供者的执行顺序是怎样的？3.如何处理JSON格式的登录请求参数？4.如何在认证提供者中获取请求体（如JSON）中的参数？5.如何避免在每个认证提供者中都使用`RequestContextHolder`获取请求？</think>在 Spring Security 的 `configure(HttpSecurity http)` 方法中实现参数校验逻辑而不使用过滤器，可以通过自定义认证提供者(AuthenticationProvider)和异常处理机制来实现。以下是完整的解决方案： ### 修改后的 configure 方法实现 ```java @Override protected void configure(HttpSecurity http) throws Exception { http.csrf().disable(); // 自定义认证提供者 AuthenticationProvider paramValidationProvider = new AuthenticationProvider() { @Override public Authentication authenticate(Authentication authentication) throws AuthenticationException { HttpServletRequest request = ((ServletRequestAttributes) RequestContextHolder.getRequestAttributes()).getRequest(); // 仅对特定请求进行参数校验 if ("/oauth/app/verifyCode/token".equals(request.getRequestURI()) && "POST".equalsIgnoreCase(request.getMethod())) { List<String> errors = new ArrayList<>(); Map<String, String> paramRules = Map.of( "phoneOrAccount", "账号不能为空", "accountType", "账号类型不能为空", "deviceCode", "机器码不能为空", "code", "图形验证码不能为空", "verifyCode", "短信验证码不能为空" ); // 执行参数校验 paramRules.forEach((param, errorMsg) -> { if (isEmpty(request.getParameter(param))) { errors.add(errorMsg); } }); // 抛出参数校验异常 if (!errors.isEmpty()) { throw new BadCredentialsException(String.join("; ", errors)); } } return authentication; } @Override public boolean supports(Class<?> authentication) { return true; // 支持所有认证类型 } }; http.authenticationProvider(paramValidationProvider) .authorizeRequests() .anyRequest().authenticated() .and() .exceptionHandling() .authenticationEntryPoint((request, response, authException) -> { // 处理参数校验异常 if (authException instanceof BadCredentialsException) { response.setStatus(HttpStatus.BAD_REQUEST.value()); response.getWriter().write(authException.getMessage()); } else { // 其他认证异常处理 response.sendError(HttpStatus.UNAUTHORIZED.value(), "未认证"); } }); // 表单登录配置保持不变 http.formLogin() .loginProcessingUrl("/user/login") .successHandler(authenticationSuccessHandler) .failureHandler(authenticationFailureHandler) .permitAll() .and() .logout() .logoutSuccessUrl("/login.html") .logoutSuccessHandler(new HttpStatusReturningLogoutSuccessHandler()) .addLogoutHandler(oauthLogoutHandler) .clearAuthentication(true); // 应用自定义安全配置 http.apply(validateCodeSecurityConfig) .and() .apply(phoneOrAccountAuthenticationSecurityConfig) .and() .apply(unionIdAuthenticationSecurityConfig); // 解决不允许显示在iframe的问题 http.headers().frameOptions().disable(); http.headers().cacheControl(); // 对所有请求使用无状态会话策略 http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); } // 辅助方法 private boolean isEmpty(String value) { return value == null || value.trim().isEmpty(); } ``` ### 实现原理说明 1. **自定义认证提供者集成** - 在配置中直接创建匿名 `AuthenticationProvider` 实现类 - 使用 `http.authenticationProvider()` 将其集成到认证流程中[^1] - 通过 `RequestContextHolder` 获取当前请求对象进行参数校验[^2] 2. **动态参数校验** - 使用 `Map` 结构定义参数与错误信息的映射关系 - 仅对特定端点(`/oauth/app/verifyCode/token`)执行校验 - 收集所有缺失参数的错误信息 3. **异常处理机制** - 抛出 `BadCredentialsException` 封装错误信息 - 在 `authenticationEntryPoint` 中统一处理异常 - 返回 400 状态码和详细的错误信息[^3] 4. **无过滤器实现** - 完全在 Spring Security 现有认证流程中实现 - 无需额外创建或配置过滤器 - 与现有认证逻辑无缝集成 ### 效果示例 **缺失多个参数时响应：** ``` HTTP/1.1 400 Bad Request 账号不能为空;账号类型不能为空;图形验证码不能为空 ``` **仅缺失一个参数时响应：** ``` HTTP/1.1 400 Bad Request 短信验证码不能为空 ``` ### 扩展优化建议 ```java // 支持国际化错误消息 Map<String, String> paramRules = Map.of( "phoneOrAccount", messageSource.getMessage("error.account.required", null, locale), // ...其他参数 ); // 支持不同端点的差异化校验 if (isTokenRequest(request)) { // 执行完整校验 } else if (isOtherEndpoint(request)) { // 执行简化校验 } ``` ### 注意事项 1. **线程安全性** - `RequestContextHolder` 基于 ThreadLocal，确保在请求线程中使用 - 异步场景需传递请求上下文 2. **认证流程顺序** - 自定义认证提供者在标准认证流程前执行 - 参数校验失败会中断后续认证步骤[^4] 3. **内容类型处理** - 当前实现返回纯文本错误信息 - 可扩展为返回 JSON 格式响应 4. **性能考量** - 仅对特定端点执行校验，避免不必要的开销 - 参数规则使用静态 Map，避免重复创建