知識庫 / Spring / Spring Security RSS 訂閱

讓我們創建一個另一個消息流，該消息流從 PublishSubscribeChannel 渠道開始，並且兩個 ServiceActivator 訂閲了該渠道：

@Bean(name = "startPSChannel")
@SecuredChannel(
  interceptor = "channelSecurityInterceptor", 
  sendAccess = "ROLE_VIEWER")
public PublishSubscribeChannel startChannel() {
    return new PublishSubscribeChannel(executor());
}

@ServiceActivator(
  inputChannel = "startPSChannel", 
  outputChannel = "finalPSResult")
@PreAuthorize("hasRole('ROLE_LOGGER')")
public Message<?> changeMessageToRole(Message<?> message) {
    return buildNewMessage(getRoles(), message);
}

@ServiceActivator(
  inputChannel = "startPSChannel", 
  outputChannel = "finalPSResult")
@PreAuthorize("hasRole('ROLE_VIEWER')")
public Message<?> changeMessageToUserName(Message<?> message) {
    return buildNewMessage(getUsername(), message);
}

在上述示例中，有兩個 ServiceActivator 訂閲 startPSChannel。該通道需要一個具有 ROLE_VIEWER 角色的 Authentication 身份驗證主體才能向其發送消息。

同樣，只能在 Authentication 身份驗證主體擁有 ROLE_LOGGER 角色的情況下調用 changeMessageToRole 服務。

此外，只能在 Authentication 身份驗證主體擁有 ROLE_VIEWER 角色的情況下調用 changeMessageToUserName 服務。

與此同時，startPSChannel 將使用 ThreadPoolTaskExecutor 運行。

@Bean
public ThreadPoolTaskExecutor executor() {
    ThreadPoolTaskExecutor pool = new ThreadPoolTaskExecutor();
    pool.setCorePoolSize(10);
    pool.setMaxPoolSize(10);
    pool.setWaitForTasksToCompleteOnShutdown(true);
    return pool;
}

因此，兩個 ServiceActivator 將在兩個不同的線程中運行。為了將 SecurityContext 傳播到這些線程中，我們需要在我們的消息通道中添加一個 SecurityContextPropagationChannelInterceptor：

@Bean
@GlobalChannelInterceptor(patterns = { "startPSChannel" })
public ChannelInterceptor securityContextPropagationInterceptor() {
    return new SecurityContextPropagationChannelInterceptor();
}

請注意我們如何為 SecurityContextPropagationChannelInterceptor 裝飾了 @GlobalChannelInterceptor 註解。我們還將其 startPSChannel 添加到了其 patterns 屬性中。

因此，上述配置表明，當前線程的 SecurityContext 將被傳播到任何從 startPSChannel 派生的線程。

6. 測試

讓我們使用一些 JUnit 測試來驗證我們的消息流。

6.1. 依賴

我們需要在此時添加 spring-security-test 依賴項：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-test</artifactId>
    <version>6.0.0</version>
    <scope>test</scope>
</dependency>

同樣，最新版本可以從 Maven Central 上檢出： spring-security-test.

6.2. 測試安全通道

首先，我們嘗試向我們的 startDirectChannel: 發送消息。

@Test(expected = AuthenticationCredentialsNotFoundException.class)
public void 
  givenNoUser_whenSendToDirectChannel_thenCredentialNotFound() {

    startDirectChannel
      .send(new GenericMessage<String>(DIRECT_CHANNEL_MESSAGE));
}

由於渠道已加固，當不提供身份驗證對象的情況下發送消息時，我們預期會拋出 AuthenticationCredentialsNotFoundException 異常。

接下來，我們提供一個擁有 ROLE_VIEWER 角色的用户，並向我們的 startDirectChannel 發送消息：

@Test
@WithMockUser(roles = { "VIEWER" })
public void 
  givenRoleViewer_whenSendToDirectChannel_thenAccessDenied() {
    expectedException.expectCause
      (IsInstanceOf.<Throwable> instanceOf(AccessDeniedException.class));

    startDirectChannel
      .send(new GenericMessage<String>(DIRECT_CHANNEL_MESSAGE));
 }

現在，儘管用户即使擁有 ROLE_VIEWER 角色也能夠將消息發送到 startDirectChannel，但他無法調用請求擁有 ROLE_LOGGER 角色的 logMessage 服務。

在這種情況下，將會拋出 MessageHandlingException，其原因是由 AcessDeniedException 引起的。

測試將會拋出 MessageHandlingException，其原因是由 AccessDeniedExcecption 引起的。因此，我們使用 ExpectedException 實例來驗證該異常。

接下來，我們為用户名 jane 的用户提供兩個角色： ROLE_LOGGER 和 ROLE_EDITOR。

然後再次嘗試將消息發送到 startDirectChannel：

@Test
@WithMockUser(username = "jane", roles = { "LOGGER", "EDITOR" })
public void 
  givenJaneLoggerEditor_whenSendToDirectChannel_thenFlowCompleted() {
    startDirectChannel
      .send(new GenericMessage<String>(DIRECT_CHANNEL_MESSAGE));
    assertEquals
      (DIRECT_CHANNEL_MESSAGE, messageConsumer.getMessageContent());
}

消息將成功地在我們的流程中流動，從 startDirectChannel 到 logMessage 激活器開始，然後流向 endDirectChannel。 這是因為提供的認證對象擁有訪問這些組件的所有必要權限。

6.3. 測試 SecurityContext 傳播

在聲明測試用例之前，我們可以回顧我們示例的整個流程，使用 PublishSubscribeChannel：

• 流程從 startPSChannel 開始，該通道具有 sendAccess = “ROLE_VIEWER” 策略。
• 兩個 ServiceActivator 訂閲該通道：一個具有安全註解 @PreAuthorize(“hasRole(‘ROLE_LOGGER’)”)，另一個具有安全註解 @PreAuthorize(“hasRole(‘ROLE_VIEWER’)”)。

並且，我們首先為具有角色 ROLE_VIEWER 的用户提供一個，並嘗試向我們的通道發送一條消息：

@Test
@WithMockUser(username = "user", roles = { "VIEWER" })
public void 
  givenRoleUser_whenSendMessageToPSChannel_thenNoMessageArrived() 
  throws IllegalStateException, InterruptedException {
 
    startPSChannel
      .send(new GenericMessage<String>(DIRECT_CHANNEL_MESSAGE));

    executor
      .getThreadPoolExecutor()
      .awaitTermination(2, TimeUnit.SECONDS);

    assertEquals(1, messageConsumer.getMessagePSContent().size());
    assertTrue(
      messageConsumer
      .getMessagePSContent().values().contains("user"));
}

由於我們的用户僅具有 ROLE_VIEWER 角色，消息只能通過 startPSChannel 和一個 ServiceActivator 傳遞。

因此，流程結束時我們只會收到一條消息。

讓我們為用户提供同時擁有 ROLE_VIEWER 和 ROLE_LOGGER 兩個角色的權限：

@Test
@WithMockUser(username = "user", roles = { "LOGGER", "VIEWER" })
public void 
  givenRoleUserAndLogger_whenSendMessageToPSChannel_then2GetMessages() 
  throws IllegalStateException, InterruptedException {
    startPSChannel
      .send(new GenericMessage<String>(DIRECT_CHANNEL_MESSAGE));

    executor
      .getThreadPoolExecutor()
      .awaitTermination(2, TimeUnit.SECONDS);

    assertEquals(2, messageConsumer.getMessagePSContent().size());
    assertTrue
      (messageConsumer
      .getMessagePSContent()
      .values().contains("user"));
    assertTrue
      (messageConsumer
      .getMessagePSContent()
      .values().contains("ROLE_LOGGER,ROLE_VIEWER"));
}

現在，由於用户已經擁有流程結束時所需的所有權限，我們可以接收到最終的消息。

7. 結論

在本教程中，我們探討了如何使用 Spring Security 在 Spring Integration 中安全地保護消息通道和 ServiceActivator。