Seguridad de primavera de Java: ¿interceptar la URL del subdominio para iniciar sesión de forma diferente?

Question

Tengo una aplicación con seguridad de primavera instalada y funciona bien; actualmente se está quedando sin www.exampledomain.com.

Ahora quiero expandir la aplicación que se queda sin subdominio. Por ejemplo, newapp.exampledomain.com.

El único problema es que para esta nueva aplicación que necesita un usuario para iniciar sesión. En la primavera es muy fácil de interceptar las direcciones URL a través de <intercept-url pattern="/Admin/*" access="ROLE_GENERAL"/>

pero ¿qué hacer cuando se quiere interceptar un subdominio de acceso? Por ejemplo, lo siguiente no funciona para mí:

<intercept-url pattern="http://newapp.exampledomain.com/*" access="ROLE_GENERAL"/> 

¿Alguna idea de cómo evitar esto?

Answer 1

Una opción sería escribir su propio AccessDecisionVoter que extienda RoleVoter y agregue un cheque adicional basado en el nombre de host. Algo como esto:

public class MyVoter extends RoleVoter { 
    public int vote(Authentication authentication, 
       java.lang.Object object, 
       java.util.Collection<ConfigAttribute> attributes) { 
    FilterInvocation filterInvocation = (FilterInvocation) object; 
    HttpRequest request = filterInvocation.getHttpRequest(); 
    // get subdomain from request 
    String subdomain = getSubdomain(request); 
    if ("free".equals(subdomain)) { 
     return ACCESS_GRANTED; 
    } 
    else { 
     super.vote(authentication, object, attributes); 
    } 
    } 
} 

Luego de cable hasta el elector:

<security:http auto-config="true" 
       use-expressions="true" 
       access-decision-manager-ref="accessDecisionManager"> 
... 
</security:http> 

<bean id="accessDecisionManager" 
     class="org.springframework.security.access.vote.UnanimousBased"> 
    <property name="decisionVoters"> 
     <list> 
      <bean class="com.acme.MyVoter" /> 
     </list> 
    </property> 
</bean> 

Si quería ir un paso más allá, también puede escribir su propia configuration attributes lo que permitiría quitar los controles de nombre de host codificados en el votante y hacer algo como:

<intercept-url pattern="/Admin/*" access="ROLE_GENERAL" domain="free.acme.com" /> 

Answer 2

En su cookie de sesión, el dominio debe establecerse explícitamente en ejmplodominio.com.

El servidor de aplicaciones es responsable de la creación de cookies de sesión (JSESSIONID) pero no de Spring Security.

Todo lo que tiene que hacer es informar al servidor de su aplicación que desea tener siempre el mismo dominio en la cookie.

Añadir a su web.xml:

<session-config> 
     <cookie-config> 
      <domain>exampledomain.com</domain> 
     </cookie-config> 
    </session-config>