Jak natychmiast włączyć uprawnienia po aktualizacji użytkownika w ochronie wiosny?

Question

Używam ramek bezpieczeństwa wiosennego.Gdy aktualizuję uprawnienia, nie od razu działa. Muszę zamknąć bieżącego użytkownika (oznacza wylogowanie), a następnie ponownie odwiedzić (znaczy się zalogować) będzie aktualizować pozwolenie użytkownika.

Czy sposób natychmiastowego włączenia uprawnienia po aktualizacji użytkownika w spring security?

Answer 1

Ponieważ nie dość dostarczyć dokładne dane w swoim pytaniu, zakładam, że masz sytuację, w której:

1. Jesteś dostarczające UserDetailsService załadować do UserDetails gdy użytkownik próbuje się zalogować
2. Jako część tej usługi, użytkownik wysyła zapytanie do bazy danych/DAO, aby załadować szczegółowe informacje o uprawnieniach użytkownika, i ustawia nadane uprawnienia na podstawie tej
3. . Gdy powiesz "Gdy aktualizuję uprawnienia", odnoszące się do aktualizacji uprawnień użytkownika w bazie danych (lub czymkolwiek, w czym przechowujesz dane).

Jeśli tak, to co widzisz jest zgodne z projektem - Spring Security ładuje UserDetails tylko dla użytkownika za pierwszym razem, gdy próbują się zalogować, a następnie przechowuje go w Session od tego momentu. Zasadniczo ma to sens, ponieważ pozwala uniknąć konieczności wykonywania tych samych zapytań dotyczących szczegółów użytkownika w każdym żądaniu. Ponadto uprawnienia użytkownika zazwyczaj nie zmieniają się w ciągu 99,9% ich odwiedzin.

Aby zmienić to zachowanie, może zajść potrzeba dodania polecenia/strony "odświeżania", które uruchomi kod (który będzie trzeba napisać), który będzie ponownie sprawdzał usługę UserDetailsService i zastępował UserDetails w SecurityContext . Nie wierzę, że istnieje jakiś wbudowany sposób, aby to zrobić.

Answer 2

Można utworzyć własną implementację interfejsu UserDetails, który jest zwracany z mechanizmu uwierzytelniania, który umożliwia dostęp do GrantedAuthorities []. Następnie dodaj nowe uprawnienia bezpośrednio do tego obiektu UserDetails. Możesz napotkać problemy, jeśli użytkownik może jednocześnie otworzyć wiele sesji (lub jeśli wielu użytkowników korzysta z tego samego ogólnego hasła), że nowe uprawnienia będą widoczne tylko w sesji, którą zmieniłeś.

Answer 3

Rozwiązanie Gandalf jest poprawne, ale nie kompletne. Aby nowe pozwolenia zostały uwzględnione przez ochronę wiosenną (np. Umożliwić dostęp do stron, które wcześniej nie były dostępne), musisz utworzyć nowy obiekt uwierzytelniania (np. Nowy UsernamePasswordAuthenticationToken) zawierający nową listę uprawnień.

Answer 4

Można ustawić alwaysReauthenticate w swojej AbstractSecurityInterceptor jak ten

<bean id="filterSecurityInterceptor" class="org.springframework.security.web.access.intercept.FilterSecurityInterceptor"> 
     <property name="alwaysReauthenticate" value="true"/> 
... 
</bean> 

Oczywiście należy zwrócić uwagę, bo 99,9% nie ma potrzeby ponownego uwierzytelniania. Ponieważ uwierzytelnianie może wykorzystywać bazę danych lub coś innego, wydajność może się pogorszyć. Ale zazwyczaj masz pamięć podręczną, jak 2nd Level ze stanem hibernacji, więc ładowanie userdetails za każdym razem powinno być operacją tylko do pamięci we wszystkich przypadkach, w których władze się nie zmieniły.

Answer 5

Można spróbować to

SecurityContextHolder.getContext().setAuthentication(SecurityContextHolder.getContext().getAuthentication()); 

Answer 6

nie wystarczy zresetować wątku kontekst lokalny, trzeba zaktualizować sesji też:

UserContext userContext = (UserContext) context.getAuthentication().getPrincipal(); 
if (userContext != null && userContext.getUsername() != null) { 
    //This is my function to refresh the user details 
    UserDetailsBean userDetails = getUserDetailsBean(userContext.getUsername()); 
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); 
    if (authentication instanceof UsernamePasswordAuthenticationToken) { 
     UsernamePasswordAuthenticationToken auth = (UsernamePasswordAuthenticationToken) authentication; 
     auth.setDetails(userDetails); 
    } 
    return userDetails; 
} else { 
    throw new ServiceException("User not authenticated"); 
} 
request.getSession().setAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, SecurityContextHolder.getContext()); 

Przynajmniej w Google AppEngine sesji nie jest odniesienia i modyfikując wątek lokalny nie jest aktualizowany automatycznie, musisz ręcznie session.set swój obiekt.

Answer 7

wątku wyjaśnia jak przeładować user/główny każdą prośbę:

Reload UserDetails Object from Database Every Request in Spring Security

Pełne ujawnienie Jestem autorem pytań i odpowiedzi na pytania w powyższy link.