Отключить Spring Security программно

Question

У меня есть веб-приложение с весной безопасности, и по умолчанию для всех страниц требуется авторизация. В моем сценарии администратор может в какой-то момент решить отключить защиту для некоторых страниц или полностью отключить ее. Как это можно было бы достичь лучше всего? Я думал об изменении FilterChainProxy, но мне непонятно, как именно (getFilterChains() возвращает неизменяемый список)?

Answer 1

Подкласс DelgatingFilterProxy и проверить флаг ли для вызова делегата или нет.

Затем используйте это в своем web.xml вместо DelegatingFilterProxy, который используется для springSecurityFilterChain (при условии, что вы используете конфигурацию пространства имен). Например:

<filter> 
    <filter-name>springSecurityFilterChain</filter-name> 
    <filter-class>com.foo.spring.MyDelegatingFilterProxy</filter-class> 
</filter> 

В вашем DelegatingFilterProxy проверить флаг (например, свойство системы), чтобы увидеть, если вы должны делегировать или нет.

class MyDelegatingFilterProxy extends DelegatingFilterProxy { 

    override def doFilter(request: ServletRequest, response: ServletResponse, chain: FilterChain) { 

    if (System.getProperty("skipSpringSecurity" != null) { 
     // Ignore the DelegatingProxyFilter delegate 
     chain.doFilter(request, response) 
    } else { 
     // Call the delegate 
     super.doFilter(request, response, chain) 
    } 
    } 
} 

Вы можете использовать ту же технику, чтобы использовать одеяло подстановочные как <security:intercept-url pattern="/**" access="ROLE_USER" />, а затем пропустить вызов фильтра Spring Security для некоторого множества путей при/(для статических файлов и т.д.).

Answer 2

Как настроена конфигурация Spring? Вы можете добавить пользовательский разрешительный документ, который проверяет ваши условия?

Посмотрите spring-security writing a custom PermissionEvaluator - how to inject a DAO service?