Mit der Sicherheit um Ausnahmen in Spring Boot Resource Server

Wie bereits in früheren Kommentaren wird der Antrag abgelehnt, mit dem security-framework, bevor es erreicht das MVC-Schicht, so @ControllerAdvice ist keine option hier.

Gibt es 3 Schnittstellen in das Spring Security-framework von Interesse sein können, hier:

• org.springframework.Sicherheit.web.die Authentifizierung.AuthenticationSuccessHandler
• org.springframework.Sicherheit.web.die Authentifizierung.AuthenticationFailureHandler
• org.springframework.Sicherheit.web.- Zugang.AccessDeniedHandler

Können Sie erstellen, die Implementierungen der einzelnen Schnittstellen, um die Antwort anpassen, die gesendet wird für verschiedene Veranstaltungen: erfolgreicher login, login fehlgeschlagen, versuchen, Zugriff auf geschützte Ressource mit unzureichenden Berechtigungen.

Folgende wäre wieder eine JSON-Antwort von erfolglosen login-Versuch:

@Component
public class RestAuthenticationFailureHandler implements AuthenticationFailureHandler
{
  @Override
  public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response,
      AuthenticationException ex) throws IOException, ServletException
  {
    response.setStatus(HttpStatus.FORBIDDEN.value());

    Map<String, Object> data = new HashMap<>();
    data.put("timestamp", new Date());
    data.put("status",HttpStatus.FORBIDDEN.value());
    data.put("message", "Access Denied");
    data.put("path", request.getRequestURL().toString());

    OutputStream out = response.getOutputStream();
    com.fasterxml.jackson.databind.ObjectMapper mapper = new ObjectMapper();
    mapper.writeValue(out, data);
    out.flush();
  }
}

Müssen Sie auch die Registrierung Ihrer Umsetzung(s) mit dem Security framework. In Java-config sieht dies wie unten:

@Configuration
@EnableWebSecurity
@ComponentScan("...")
public class SecurityConfiguration extends WebSecurityConfigurerAdapter
{
  @Override
  public void configure(HttpSecurity http) throws Exception
  {
    http.addFilterBefore(corsFilter(), ChannelProcessingFilter.class).logout().deleteCookies("JESSIONID")
        .logoutUrl("/api/logout").logoutSuccessHandler(logoutSuccessHandler()).and().formLogin().loginPage("/login")
        .loginProcessingUrl("/api/login").failureHandler(authenticationFailureHandler())
        .successHandler(authenticationSuccessHandler()).and().csrf().disable().exceptionHandling()
        .authenticationEntryPoint(authenticationEntryPoint()).accessDeniedHandler(accessDeniedHandler());
  }

  /**
   * @return Custom {@link AuthenticationFailureHandler} to send suitable response to REST clients in the event of a
   *         failed authentication attempt.
   */
  @Bean
  public AuthenticationFailureHandler authenticationFailureHandler()
  {
    return new RestAuthenticationFailureHandler();
  }

  /**
   * @return Custom {@link AuthenticationSuccessHandler} to send suitable response to REST clients in the event of a
   *         successful authentication attempt.
   */
  @Bean
  public AuthenticationSuccessHandler authenticationSuccessHandler()
  {
    return new RestAuthenticationSuccessHandler();
  }

  /**
   * @return Custom {@link AccessDeniedHandler} to send suitable response to REST clients in the event of an attempt to
   *         access resources to which the user has insufficient privileges.
   */
  @Bean
  public AccessDeniedHandler accessDeniedHandler()
  {
    return new RestAccessDeniedHandler();
  }
}

Können Sie nicht machen Verwendung von Spring MVC Exception-handler Anmerkungen, wie @ControllerAdvice da spring security Filter kicks viel vor Spring MVC.

Wenn Sie token-Validierung-URL mit config ähnlich Konfigurieren von resource server mit RemoteTokenServices in Spring Security Oauth2 gibt den HTTP-status 401 bei unautorisierten:

@Primary
@Bean
public RemoteTokenServices tokenService() {
    RemoteTokenServices tokenService = new RemoteTokenServices();
    tokenService.setCheckTokenEndpointUrl("https://token-validation-url.com");
    tokenService.setTokenName("token");
    return tokenService;
}

Implementierung von benutzerdefinierten authenticationEntryPoint wie beschrieben in den anderen Antworten (https://stackoverflow.com/a/44372313/5962766) funktioniert nicht, weil RemoteTokenService verwenden Sie 400-status und wirft unbehandelte Ausnahmen für andere Zustände wie 401:

public RemoteTokenServices() {
        restTemplate = new RestTemplate();
        ((RestTemplate) restTemplate).setErrorHandler(new DefaultResponseErrorHandler() {
            @Override
            //Ignore 400
            public void handleError(ClientHttpResponse response) throws IOException {
                if (response.getRawStatusCode() != 400) {
                    super.handleError(response);
                }
            }
        });
}

So müssen Sie benutzerdefinierte RestTemplate im RemoteTokenServices config das handhaben würde, 401, ohne dass Ausnahme:

@Primary
@Bean
public RemoteTokenServices tokenService() {
    RemoteTokenServices tokenService = new RemoteTokenServices();
    tokenService.setCheckTokenEndpointUrl("https://token-validation-url.com");
    tokenService.setTokenName("token");
    RestOperations restTemplate = new RestTemplate();
    restTemplate.setRequestFactory(new HttpComponentsClientHttpRequestFactory());
    ((RestTemplate) restTemplate).setErrorHandler(new DefaultResponseErrorHandler() {
            @Override
            //Ignore 400 and 401
            public void handleError(ClientHttpResponse response) throws IOException {
                if (response.getRawStatusCode() != 400 && response.getRawStatusCode() != 401) {
                    super.handleError(response);
                }
            }
        });
    }
    tokenService.setRestTemplate(restTemplate);
    return tokenService;
}

Hinzufügen und Abhängigkeit für HttpComponentsClientHttpRequestFactory:

<dependency>
  <groupId>org.apache.httpcomponents</groupId>
  <artifactId>httpclient</artifactId>
</dependency>