使用 Spring Security 手动认证用户

使用 OpenRewrite 安全且自动地重构 Java 代码。

手动重构大型代码库既缓慢、有风险，又容易拖延。OpenRewrite 应运而生。这个用于大规模、自动化代码转换的开源框架可以帮助团队安全、一致地进行现代化改造。

每个月，OpenRewrite 的创建者和维护者 Moderne 都会举办现场、实践培训课程——一个面向初学者，一个面向经验丰富的用户。您将了解配方的运作方式、如何将其应用于项目，以及如何自信地进行代码现代化改造。

参加下一次课程，带来您的问题，并学习如何自动化通常会占用您 sprint 时间的工作。

回归测试是发布流程中的重要步骤，以确保新代码不会破坏现有功能。随着代码库的不断发展，我们希望频繁运行这些测试，以便尽早发现任何问题。

确保这些测试以自动化的方式频繁运行的最佳方法当然是将其包含在 CI/CD 管道中。 这样，每次向仓库提交代码时，回归测试将自动执行。

在本教程中，我们将学习如何使用 Selenium 创建回归测试，然后使用 GitHub Actions 将它们包含在我们的管道中，在 LambdaTest 云网格上运行

>> 如何使用 GitHub Actions 运行 Selenium 回归测试

1. 概述

在这篇快速的文章中，我们将重点介绍如何在 Spring Security 和 Spring MVC 中以编程方式设置已认证的用户。

2. Spring Security

简单来说，Spring Security 将每个已认证用户的主体信息保存在一个 ThreadLocal 中 – 以 Authentication 对象的形式存在。

为了构造并设置这个 Authentication 对象 – 我们需要使用 Spring Security 通常用于构建对象的方式，就像标准的认证一样。

接下来，让我们手动触发认证，然后将生成的 Authentication 对象设置到框架用于保存当前登录用户的当前 SecurityContext 中

UsernamePasswordAuthenticationToken authReq
 = new UsernamePasswordAuthenticationToken(user, pass);
Authentication auth = authManager.authenticate(authReq);
SecurityContext sc = SecurityContextHolder.getContext();
sc.setAuthentication(auth);

在上下文中设置 Authentication 后，现在我们可以使用 securityContext.getAuthentication().isAuthenticated() 检查当前用户是否已认证。

3. Spring MVC

默认情况下，Spring Security 在 Spring Security 过滤器链中添加一个额外的过滤器 – 它能够持久化安全上下文 (SecurityContextPersistenceFilter 类)。

反过来，它将安全上下文的持久化委托给 SecurityContextRepository 的一个实例，默认情况下是 HttpSessionSecurityContextRepository 类。

因此，为了在请求中设置认证，从而**使它对客户端的所有后续请求可用**，我们需要手动设置包含 Authentication 的 SecurityContext 到 HTTP 会话中

public void login(HttpServletRequest req, String user, String pass) { 
    UsernamePasswordAuthenticationToken authReq
      = new UsernamePasswordAuthenticationToken(user, pass);
    Authentication auth = authManager.authenticate(authReq);
    
    SecurityContext sc = SecurityContextHolder.getContext();
    sc.setAuthentication(auth);
    HttpSession session = req.getSession(true);
    session.setAttribute(SPRING_SECURITY_CONTEXT_KEY, sc);
}

SPRING_SECURITY_CONTEXT_KEY 是一个静态导入的 HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY。

应该注意的是，我们不能直接使用 HttpSessionSecurityContextRepository – 因为它与 SecurityContextPersistenceFilter 结合使用。

这是因为该过滤器使用存储库在链中定义其余过滤器的执行之前和之后加载和存储安全上下文，但它使用传递到链的自定义包装器来包装响应。

因此，在这种情况下，你应该知道使用的包装器类，并将其传递给存储库中的适当的保存方法。