스프링 보안 게스트 사용자

Question

장바구니 속성이있는 사용자 지정 UserDetails 구현이 있습니다.

class MyUserDetails implement UserDetails { 
    private Cart cart; 
    // getters & setters + other properties.... 
} 

나는 지금까지 내가 그렇지 않으면 작업을 입수했습니다, 익명의 사용자가 너무 MyUserDetails의 인스턴스를되고 싶어하지만, 모든 anonymousUsers 같은 쇼핑 카트를 가지고!

@Override 
protected void configure(HttpSecurity http) throws Exception { 
    MyUserDetails anonymousUser = new MyUserDetails(); 
    anonymousUser.setUsername("anonymousUser"); 
    http.anonymous().principal(anonymousUser); 
    ... 
} 

나는 각 세션에 대한 익명 사용자 에 대한 MyUserDetails의 새로운 인스턴스를 반환 할 수있을 것 어떻게

?

public class MyAnonymousAuthenticationFilter extends AnonymousAuthenticationFilter { 
    private static final String USER_SESSION_KEY = "user"; 
    private final String key; 

    public MyAnonymousAuthenticationFilter(String key) { 
     super(key); 
     this.key = key; 
    } 

    @Override 
    protected Authentication createAuthentication(HttpServletRequest req) { 
     HttpSession httpSession = req.getSession(); 
     MyUserDetails user = Optional.ofNullable((MyUserDetails) httpSession.getAttribute(USER_SESSION_KEY)) 
       .orElseGet(() -> { 
        MyUserDetails anon = new MyUserDetails(); 
        anon.setUsername("anonymousUser"); 
        httpSession.setAttribute(USER_SESSION_KEY, anon); 
        return anon; 
       }); 
     return new AnonymousAuthenticationToken(key, user, AuthorityUtils.createAuthorityList("ROLE_ANONYMOUS")); 
    } 
} 

와 다음이 방법에 문제가있을 경우 http.anonymous().authenticationFilter(new MyAnonymousAuthenticationFilter(UUID.randomUUID().toString()));

와 함께 사용하거나 :

Answer 1

나는 그것을 이렇게 정의 AnonymousAuthenticationFilter를 작성하여 작업 얻을 관리 확신 더 나은 방법을 알고 있다면 알려주세요.

Answer 2

내 첫 발언은 내가 @dur의 의견에 동의하는 경향이 있다는 것입니다하지만 난 그게 봄 아키텍처 더 인라인있을 거라고 생각 당신은 여전히 ​​당신의 접근 방식에 충실하려는 경우 그

:-) 또 다른 이야기 필터 대신에 AuthenticationProvider을 구현하면 익명의 토큰을 처리 (인증) 할 수 있습니다. 이처럼 :

public class MyAuthenticationProvider implements AuthenticationProvider { 

    @Override 
    public Authentication authenticate(Authentication authentication) throws AuthenticationException { 

    //enrich the authentication here. 
    } 


    @Override 
    public boolean supports(Class<?> authentication) { 
    return (AnonymousAuthenticationToken.class 
     .isAssignableFrom(authentication)); 
    } 
} 

그러면 예를 들어, WebSecurityConfigurerAdapter에 의해 초기화 될 수 필터 체인에이 공급자를 등록합니다. 로컬 인증 관리자를 구성하여이 작업을 수행 할 수 있습니다. 이것은 다음과 같이 어떻게 든 모양 :

@Override 
protected void configure(
    AuthenticationManagerBuilder auth) throws Exception { 
    auth.authenticationProvider(new MyAuthenticationProvider()); 
} 

을 here를 참조하십시오 봄 보안 아키텍처의 뛰어난 심도있는 검토를 위해.