4.3. 事前認証での Spring セキュリティーの使用

手順

1. AnonymousAuthenticationFilter クラスを拡張する以下のクラスを作成します。

   import org.springframework.security.authentication.AnonymousAuthenticationToken;
   import org.springframework.security.core.Authentication;
   import org.springframework.security.core.AuthenticationException;
   import org.springframework.security.core.GrantedAuthority;
   import org.springframework.security.core.authority.SimpleGrantedAuthority;
   import org.springframework.security.core.context.SecurityContextHolder;
   import org.springframework.security.web.authentication.AnonymousAuthenticationFilter;
   
   import javax.servlet.FilterChain;
   import javax.servlet.ServletException;
   import javax.servlet.ServletRequest;
   import javax.servlet.ServletResponse;
   import javax.servlet.http.HttpServletRequest;
   import java.io.IOException;
   import java.util.Arrays;
   import java.util.Collections;
   import java.util.List;
   
   public class <CLASS_NAME> extends AnonymousAuthenticationFilter {
       private static final Logger log = LoggerFactory.getLogger(<CLASS_NAME>.class);
   
       public AnonymousAuthFilter() {
           super("PROXY_AUTH_FILTER");
       }
   
       @Override
       public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
               throws IOException, ServletException {
   
           SecurityContextHolder.getContext().setAuthentication(createAuthentication((HttpServletRequest) req));
           log.info("SecurityContextHolder pre-auth user: {}",  SecurityContextHolder.getContext());
   
           if (log.isDebugEnabled()) {
               log.debug("Populated SecurityContextHolder with authenticated user: {}",
                       SecurityContextHolder.getContext().getAuthentication());
           }
   
           chain.doFilter(req, res);
       }
   
       @Override
       protected Authentication createAuthentication(final HttpServletRequest request)
               throws AuthenticationException {
   
           log.info("<ANONYMOUS_USER>");
   
   
           List<? extends GrantedAuthority> authorities = Collections
                   .unmodifiableList(Arrays.asList(new SimpleGrantedAuthority("<ROLE>")
                   ));
           return new AnonymousAuthenticationToken("ANONYMOUS", "<ANONYMOUS_USER>", authorities);
       }
   
   }

   Copy to Clipboard Toggle word wrap

2. 以下の変数を置き換えてください。

   • <CLASS_NAME> を、このクラスの名前 (AnonymousAuthFilter など) に置き換えます。
   • <ANONYMOUS_USER> をユーザー ID (Service_Group など) に置き換えます。
   • <ROLE> を <ANONYMOUS_USER> に付与する必要がある権限を持つロールに置き換えます。

3. <ANONYMOUS_USER> に複数のロールを割り当てる必要がある場合は、以下の例に示すようにロールを追加します。

   .unmodifiableList(Arrays.asList(new SimpleGrantedAuthority("<ROLE>")
   , new SimpleGrantedAuthority("<ROLE2>")

   Copy to Clipboard Toggle word wrap

4. .anonymous().authenticationFilter(new <CLASS_NAME>()).and() を business-application-service/src/main/java/com/company/service/DefaultWebSecurityConfig.java ファイルに追加します。<CLASS_NAME> は作成したクラス名に置き換えます。

       @Override
       protected void configure(HttpSecurity http) throws Exception {
   
                   http
                       .anonymous().authenticationFilter(new <CLASS_NAME>()).and() // Override anonymousUser
                       .cors().and().csrf().disable()
                       .authorizeRequests()
                       .antMatchers("/*").permitAll()
                       .and().headers().frameOptions().disable();
   
       }

   Copy to Clipboard Toggle word wrap