So finden Nutzer-IPs in Spring Security?

Ich denke, dass die Prüfung erreicht werden, indem hasIpAddress http expression

Siehe Abschnitt 15.2 Web-Security-Ausdrücke

<http use-expressions="true">
    <intercept-url pattern="/admin*"
        access="hasRole('admin') and hasIpAddress('192.168.1.0/24')"/>
    ...
  </http>

Wenn du mehr Flexibilität haben möchten, implementieren Sie Ihre eigene IP-Adresse kontrollieren-service, basierend auf IpAddressMatcher:

<bean id="ipCheckService" class="my.IpCheckService">
</bean>

<security:http auto-config="false" access-denied-page="/accessDenied.jsp" 
use-expressions="true">
    <security:intercept-url pattern="/login.jsp"
        access="@ipCheckService.isValid(request)" />

bean-Implementierung:

public class IpCheckService {
    public boolean isValid(HttpServletRequest request) {
        //This  service is a bean so you can inject other dependencies,
            //for example load the white list of IPs from the database 
        IpAddressMatcher matcher = new IpAddressMatcher("192.168.1.0/24");

    try {
        return matcher.matches(request);
    } catch (UnsupportedOperationException e) { 
        return false;
    }
    }
}

update: Sie können versuchen zu Holen Sie sich die aktuellen Nutzer-IP-Adresse auf diese Weise:

    public static String getRequestRemoteAddr(){
        HttpServletRequest request = ((ServletRequestAttributes)RequestContextHolder.currentRequestAttributes())
                   .getRequest(); 
        return request.getRemoteAddr();
}

update die Informationen über Die Beziehung zwischen IP-Adressen und Sitzungen können nur gesammelt werden, aus den verschiedenen Quellen(wie das hören von AuthenticationSuccessEvent und SessionDestroyedEvent Ereignisse, die Implementierung eines filters oder die Verwendung eines AOP interceptor). Spring Security speichert keine solchen Informationen, denn es ist nutzlos, da die IP-Adresse hat einen Sinn nur, wenn der server-Verarbeitung ist eine ServletRequest.

IP-Adresse kann sich ändern(user kann über einen proxy), so können wir nur audit verschiedene Arten von Veranstaltungen wie Anmeldung mit einigen Anmeldeinformationen, die Zugriff auf einen service von einer anderen IP, oder dabei einige verdächtige Aktivitäten.

Können Sie HttpServletRequest für die erste IP-Adresse des Benutzers. (Entwickler von SpringSecurity tun dies in der gleichen Weise, in Ihrem Ausdruck hasIpAddress(...) in WebSecurityExpressionRoot Klasse).

Zum Beispiel können Sie bekommen HttpServletRequest 2 Möglichkeiten:

1) Mit RequestContextHolder:

HttpServletRequest request = ((ServletRequestAttributes) RequestContextHolder
                .getRequestAttributes()).getRequest();

2) Mit autowiring:

@Autowired
private HttpServletRequest request;

Ich habe das von hier.

Dann mit HttpServletRequest können Sie die Ip-Adresse in einer solchen Art und Weise:

String address = request.getRemoteAddr();

Und hier ist, wie die Adressen verglichen werden, in spring security:

/**
 * Takes a specific IP address or a range using the IP/Netmask (e.g. 192.168.1.0/24 or 202.24.0.0/14).
 *
 * @param ipAddress the address or range of addresses from which the request must come.
 * @return true if the IP address of the current request is in the required range.
 */
public boolean hasIpAddress(String ipAddress) {
    return (new IpAddressMatcher(ipAddress).matches(request));
}

Und IpAddressMatcher Klasse:

public final class IpAddressMatcher implements RequestMatcher {
    private final int nMaskBits;
    private final InetAddress requiredAddress;

    /**
     * Takes a specific IP address or a range specified using the
     * IP/Netmask (e.g. 192.168.1.0/24 or 202.24.0.0/14).
     *
     * @param ipAddress the address or range of addresses from which the request must come.
     */
    public IpAddressMatcher(String ipAddress) {

        if (ipAddress.indexOf('/') > 0) {
            String[] addressAndMask = StringUtils.split(ipAddress, "/");
            ipAddress = addressAndMask[0];
            nMaskBits = Integer.parseInt(addressAndMask[1]);
        } else {
            nMaskBits = -1;
        }
        requiredAddress = parseAddress(ipAddress);
    }

    public boolean matches(HttpServletRequest request) {
        return matches(request.getRemoteAddr());
    }

    public boolean matches(String address) {
        InetAddress remoteAddress = parseAddress(address);

        if (!requiredAddress.getClass().equals(remoteAddress.getClass())) {
            return false;
        }

        if (nMaskBits < 0) {
            return remoteAddress.equals(requiredAddress);
        }

        byte[] remAddr = remoteAddress.getAddress();
        byte[] reqAddr = requiredAddress.getAddress();

        int oddBits = nMaskBits % 8;
        int nMaskBytes = nMaskBits/8 + (oddBits == 0 ? 0 : 1);
        byte[] mask = new byte[nMaskBytes];

        Arrays.fill(mask, 0, oddBits == 0 ? mask.length : mask.length - 1, (byte)0xFF);

        if (oddBits != 0) {
            int finalByte = (1 << oddBits) - 1;
            finalByte <<= 8-oddBits;
            mask[mask.length - 1] = (byte) finalByte;
        }

 //      System.out.println("Mask is " + new sun.misc.HexDumpEncoder().encode(mask));

        for (int i=0; i < mask.length; i++) {
            if ((remAddr[i] & mask[i]) != (reqAddr[i] & mask[i])) {
                return false;
            }
        }

        return true;
    }

    private InetAddress parseAddress(String address) {
        try {
            return InetAddress.getByName(address);
        } catch (UnknownHostException e) {
            throw new IllegalArgumentException("Failed to parse address" + address, e);
        }
    }
}

EDIT:

Laut Fragen hier und hier können Sie Benutzer hinzufügen, die IP zu der Sitzung mit benutzerdefinierten filtern. Und dann diese Informationen aus der Sitzung mit Bezug auf den Benutzer, wo es notwendig sein wird. Zum Beispiel Sie können Ihre IP-Informationen wie diese:

public class MonitoringFilter extends GenericFilterBean{
@Override
public void doFilter(ServletRequest request, ServletResponse response,
        FilterChain chain) throws IOException, ServletException {
    HttpServletRequest httpRequest = (HttpServletRequest) request;

    String userIp = httpRequest.getRemoteAddr();

    httpRequest.getSession().setAttribute("userIp", userIp);

    //Add other attributes to session if necessary
}