在使用 Spring Security + CAS 时，我一直遇到一个小障碍，即发送到 CAS 的回调 URL，即服务属性。我查看了很多示例，例如 this 和 this，但它们都使用硬编码 URL(甚至 Spring's CAS docs )。一个典型的片段看起来像这样......

  <bean id="serviceProperties" class="org.springframework.security.ui.cas.ServiceProperties">
    <property name="service" value="http://localhost:8080/click/j_spring_cas_security_check" />
  </bean>

首先，我不想对服务器名称或端口进行硬编码，因为我希望这个 WAR 可以部署到任何地方，而且我不希望我的应用程序在编译时绑定(bind)到特定的 DNS 条目。其次，我不明白为什么 Spring 无法自动检测我的应用程序的上下文 和请求的 URL 以自动构建 URL。 该声明的第一部分仍然有效，但正如 Raghuram 在下面指出的那样 this link ，出于安全原因，我们不能信任来自客户端的 HTTP 主机 header 。

理想情况下，我希望服务 URL 正是用户请求的内容(只要请求有效，例如 mycompany.com 的子域)，这样它是无缝的，或者至少我只想指定一些相对于我的应用程序上下文根的路径，并让 Spring 即时确定服务 URL。像下面这样的东西......

  <bean id="serviceProperties" class="org.springframework.security.ui.cas.ServiceProperties">
    <property name="service" value="/my_cas_callback" />
  </bean>

或者...

  <bean id="serviceProperties" class="org.springframework.security.ui.cas.ServiceProperties">
    <property name="service" value="${container.and.app.derived.value.here}" />
  </bean>

这是否可能或容易，或者我错过了显而易见的事情？

最佳答案

我知道这有点旧，但我只需要解决这个问题，但在较新的堆栈中找不到任何东西。

我们有多个环境共享相同的 CAS 服务(想想 dev、qa、uat 和本地开发环境)；我们有能力从多个 url 访问每个环境(通过客户端 Web 服务器通过反向代理并直接访问后端服务器本身)。这意味着指定单个 url 充其量是困难的。也许有一种方法可以做到这一点，但能够使用动态 ServiceProperties.getService()。我可能会添加某种服务器后缀检查，以确保 url 在某些时候没有被劫持。

下面是我为使基本 CAS 流程正常工作所做的工作，而不管用于访问 protected 资源的 URL 是什么......

1. 覆盖 CasAuthenticationFilter。
2. 覆盖 CasAuthenticationProvider。
3. setAuthenticateAllArtifacts(true) 在 ServiceProperties 上。

这是我的 spring 配置 bean 的长格式:

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true, jsr250Enabled = true)
public class CasSecurityConfiguration extends WebSecurityConfigurerAdapter {

只是通常的 spring 配置 bean。

@Value("${cas.server.url:https://localhost:9443/cas}")
private String casServerUrl;

@Value("${cas.service.validation.uri:/webapi/j_spring_cas_security_check}")
private String casValidationUri;

@Value("${cas.provider.key:whatever_your_key}")
private String casProviderKey;

一些外部配置参数。

@Bean
public ServiceProperties serviceProperties() {
    ServiceProperties serviceProperties = new ServiceProperties();
    serviceProperties.setService(casValidationUri);
    serviceProperties.setSendRenew(false);
    serviceProperties.setAuthenticateAllArtifacts(true);
    return serviceProperties;
}

上面的关键是 setAuthenticateAllArtifacts(true) 调用。这将使服务票证 validator 使用 AuthenticationDetailsS​​ource 实现而不是硬编码的 ServiceProperties.getService() 调用

@Bean
public Cas20ServiceTicketValidator cas20ServiceTicketValidator() {
    return new Cas20ServiceTicketValidator(casServerUrl);
}

标准票据 validator ..

@Resource
private UserDetailsService userDetailsService;

@Bean
public AuthenticationUserDetailsService authenticationUserDetailsService() {
    return new AuthenticationUserDetailsService() {
        @Override
        public UserDetails loadUserDetails(Authentication token) throws UsernameNotFoundException {
            String username = (token.getPrincipal() == null) ? "NONE_PROVIDED" : token.getName();
            return userDetailsService.loadUserByUsername(username);
        }
    };
}

现有 UserDetailsS​​ervice 的标准 Hook

@Bean
public CasAuthenticationProvider casAuthenticationProvider() {
    CasAuthenticationProvider casAuthenticationProvider = new CasAuthenticationProvider();
    casAuthenticationProvider.setAuthenticationUserDetailsService(authenticationUserDetailsService());
    casAuthenticationProvider.setServiceProperties(serviceProperties());
    casAuthenticationProvider.setTicketValidator(cas20ServiceTicketValidator());
    casAuthenticationProvider.setKey(casProviderKey);
    return casAuthenticationProvider;
}

标准身份验证提供程序

@Bean
public CasAuthenticationFilter casAuthenticationFilter() throws Exception {
    CasAuthenticationFilter casAuthenticationFilter = new CasAuthenticationFilter();
    casAuthenticationFilter.setAuthenticationManager(authenticationManager());
    casAuthenticationFilter.setServiceProperties(serviceProperties());
    casAuthenticationFilter.setAuthenticationDetailsSource(dynamicServiceResolver());
    return casAuthenticationFilter;
}

这里的关键是 dynamicServiceResolver() 设置..

@Bean
AuthenticationDetailsSource<HttpServletRequest,
        ServiceAuthenticationDetails> dynamicServiceResolver() {
    return new AuthenticationDetailsSource<HttpServletRequest, ServiceAuthenticationDetails>() {
        @Override
        public ServiceAuthenticationDetails buildDetails(HttpServletRequest context) {
            final String url = makeDynamicUrlFromRequest(serviceProperties());
            return new ServiceAuthenticationDetails() {
                @Override
                public String getServiceUrl() {
                    return url;
                }
            };
        }
    };
}

通过 makeDynamicUrlFromRequest() 方法动态创建服务 url。该位在票据验证时使用。

@Bean
public CasAuthenticationEntryPoint casAuthenticationEntryPoint() {

    CasAuthenticationEntryPoint casAuthenticationEntryPoint = new CasAuthenticationEntryPoint() {
        @Override
        protected String createServiceUrl(final HttpServletRequest request, final HttpServletResponse response) {
            return CommonUtils.constructServiceUrl(null, response, makeDynamicUrlFromRequest(serviceProperties())
                    , null, serviceProperties().getArtifactParameter(), false);
        }
    };
    casAuthenticationEntryPoint.setLoginUrl(casServerUrl + "/login");
    casAuthenticationEntryPoint.setServiceProperties(serviceProperties());
    return casAuthenticationEntryPoint;
}

当 CAS 想要重定向到登录屏幕时，这部分使用相同的动态 url 创建器。

private String makeDynamicUrlFromRequest(ServiceProperties serviceProperties){
    return "https://howeverYouBuildYourOwnDynamicUrl.com";
}

这就是你所做的一切。我只传入了 ServiceProperties 来保存我们配置的服务的 URI。我们在背面使用 HATEAOS 并实现如下:

return UriComponentsBuilder.fromHttpUrl(
            linkTo(methodOn(ExposedRestResource.class)
                    .aMethodOnThatResource(null)).withSelfRel().getHref())
            .replacePath(serviceProperties.getService())
            .build(false)
            .toUriString();

编辑:这是我对有效服务器后缀列表所做的。

private List<String> validCasServerHostEndings;

@Value("${cas.valid.server.suffixes:company.com,localhost}")
private void setValidCasServerHostEndings(String endings){
    validCasServerHostEndings = new ArrayList<>();
    for (String ending : StringUtils.split(endings, ",")) {
        if (StringUtils.isNotBlank(ending)){
            validCasServerHostEndings.add(StringUtils.trim(ending));
        }
    }
}

private String makeDynamicUrlFromRequest(ServiceProperties serviceProperties){
    UriComponents url = UriComponentsBuilder.fromHttpUrl(
            linkTo(methodOn(ExposedRestResource.class)
                    .aMethodOnThatResource(null)).withSelfRel().getHref())
            .replacePath(serviceProperties.getService())
            .build(false);
    boolean valid = false;
    for (String validCasServerHostEnding : validCasServerHostEndings) {
        if (url.getHost().endsWith(validCasServerHostEnding)){
            valid = true;
            break;
        }
    }
    if (!valid){
        throw new AccessDeniedException("The server is unable to authenticate the requested url.");
    }
    return url.toString();
}

关于java - Spring的CAS服务属性中如何正确设置服务URL，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/4555206/