¿Cómo habilitar inmediatamente la autoridad después de actualizar la autoridad del usuario en la seguridad de primavera?

Question

Estoy usando spring-security framework. Cuando actualizo los permisos, no surte efecto inmediatamente. Tengo que abandonar el usuario actual (significa cerrar la sesión), y luego volver a visitar (significa iniciar sesión) será actualizar el permiso del usuario

¿Es una forma de habilitar inmediatamente la autoridad después de actualizar la autoridad del usuario en la seguridad de primavera?

Answer 1

Ya que no acababa de proporcionar los detalles exactos de su pregunta, se supone que tiene una situación donde:

1. está suministrando un UserDetailsService para cargar un DetallesUsuario cuando un usuario intenta iniciar sesión
2. Como parte de ese servicio, está consultando una base de datos/DAO para cargar detalles sobre los permisos de un usuario, y está configurando las autorizaciones otorgadas basadas en este
3. que cuando dice "Cuando actualizo los permisos" está haciendo referencia a la actualización de los permisos del usuario en la base de datos (o en lo que esté almacenando datos).

Si es así, entonces lo que está viendo es por diseño: Spring Security solo carga los UserDetails para el usuario la primera vez, cuando intentan iniciar sesión, y luego los almacena en Session a partir de ese momento. En general, esto tiene sentido, ya que evita que la aplicación tenga que realizar las mismas consultas sobre los detalles del usuario en cada solicitud. Además, los permisos de un usuario generalmente no cambian en el 99.9% de sus visitas.

Para cambiar este comportamiento, le recomendamos que agregue un comando/página de "actualización" en algún lugar que activará algún código (que tendrá que escribir) que volverá a consultar UserDetailsService y reemplazará UserDetails en SecurityContext . No creo que haya una forma incorporada de hacer esto.

Answer 2

Puede crear su propia implementación de la interfaz UserDetails que se devuelve desde su mecanismo de autenticación, que permite el acceso a las Autoridades otorgadas []. A continuación, agregue su nueva autoridad directamente a ese objeto UserDetails. Puede encontrarse con problemas si un usuario puede tener varias sesiones abiertas a la vez (o si varios usuarios comparten el mismo inicio de sesión genérico), que los nuevos permisos solo se verán en la sesión que ha alterado.

Answer 3

La solución de Gandalf es válida pero no completa. Para que los nuevos permisos sean considerados por la seguridad de primavera (por ejemplo, permitir el acceso a páginas que anteriormente no estaban disponibles), debe crear un nuevo objeto de autenticación (por ejemplo, new UsernamePasswordAuthenticationToken) que contenga la nueva lista de autoridades.

Answer 4

Puede establecer alwaysReauthenticate en su AbstractSecurityInterceptor como esto

<bean id="filterSecurityInterceptor" class="org.springframework.security.web.access.intercept.FilterSecurityInterceptor"> 
     <property name="alwaysReauthenticate" value="true"/> 
... 
</bean> 

Por supuesto, se debe prestar atención, porque el 99,9% que no es necesario repetir la autenticación. Como la autenticación puede usar una base de datos u otra cosa, su desempeño puede degradarse. Pero generalmente tiene una memoria caché, como 2nd Level con hibernación, por lo que cargar los detalles del usuario siempre debe ser una operación de solo memoria en todos los casos donde las autoridades no han cambiado.

Answer 5

puede probar esta

SecurityContextHolder.getContext().setAuthentication(SecurityContextHolder.getContext().getAuthentication()); 

Answer 6

no es suficiente para restablecer el hilo contexto local, es necesario actualizar la sesión también:

UserContext userContext = (UserContext) context.getAuthentication().getPrincipal(); 
if (userContext != null && userContext.getUsername() != null) { 
    //This is my function to refresh the user details 
    UserDetailsBean userDetails = getUserDetailsBean(userContext.getUsername()); 
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); 
    if (authentication instanceof UsernamePasswordAuthenticationToken) { 
     UsernamePasswordAuthenticationToken auth = (UsernamePasswordAuthenticationToken) authentication; 
     auth.setDetails(userDetails); 
    } 
    return userDetails; 
} else { 
    throw new ServiceException("User not authenticated"); 
} 
request.getSession().setAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, SecurityContextHolder.getContext()); 

Al menos en Google App Engine la sesión no es una referencia y al modificar el hilo local no se actualiza automáticamente, tiene que iniciar sesión manualmente.

Answer 7

El siguiente hilo explica cómo volver a su usuario/director cada petición:

Reload UserDetails Object from Database Every Request in Spring Security

revelación completa yo soy el autor de la pregunta y la respuesta de la pregunta en el foro.