Хранить информацию о гостях в Spring SecurityContextHolder

Question

Я хотел бы добавить функциональность гостей: это означает, что гости - объекты, которые действуют как пользователи, но не сохраняются и имеют ROLE_GUEST вместо ROLE_USER. Я хотел бы сохранить guestID в сеансе, поэтому, когда гость что-то делает, я могу получить гостя и предпринять действия под именем гостя. Как бы добавить эту информацию, если я хочу сохранить Stateless Servlet.

Мой текущий Войти для зарегистрированного пользователя, как это:

auth = new UsernamePasswordAuthenticationToken(username, password, auths); 
Authentication result = authManager.authenticate(auth); 
SecurityContextHolder.getContext().setAuthentication(result); 

Я ищу что-то либо похожее на это или способ добавить имя гостя где-то в SecurityContextHolder.getContext() непосредственно. Могу ли я получить объект весны Session или другой сеанс, чтобы сохранить эту информацию?

Я не использую Spring MVC.

Answer 1

Вместо подделки UsernamePasswordAuthenticationToken вы должны использовать anonymous authentication mechanism, предоставляемый каркасом. Вы можете настроить его с помощью пространства имен безопасности:

<security:http ....> 
    .... 
    <security:anonymous username="guest" granted-authority="ROLE_GUEST"/> 
</security:http> 

Это заставит AnonymousAuthenticationFilter разместить AnonymousAuthenticationToken с предоставленным именем и роль в контексте безопасности. (Конечно, это произойдет только в том случае, если другие фильтры, такие как UsernamePasswordAuthenticationFilter, не смогли выполнить аутентификацию пользователя.)