{"id":96,"date":"2012-06-27T16:11:54","date_gmt":"2012-06-27T14:11:54","guid":{"rendered":"http:\/\/marko-seifert.de\/blog\/?p=96"},"modified":"2020-01-15T12:23:37","modified_gmt":"2020-01-15T10:23:37","slug":"coremedia-und-spring-security-verheiratet-teil-1-authentifizierung","status":"publish","type":"post","link":"http:\/\/marko-seifert.de\/blog\/?p=96","title":{"rendered":"CoreMedia und Spring Security verheiratet \u2013 Teil 1: Authentifizierung"},"content":{"rendered":"

Erstellung eines CoreMedia-AuthenticationProviders f\u00fcr das Spring Security Framework<\/strong><\/em><\/p>\n

Einleitung und Funktionsweise<\/h2>\n

Neben dem Aufbau von geschlossenen Benutzergruppen (GBGs) im CMS kann es auch andere Gr\u00fcnde geben, das CoreMedia UserRepository f\u00fcr die Authentifizierung von Nutzern zu verwenden. Das Spring Security Framework<\/a> (ehemals ACEGI Security<\/a>) bietet Funktionalit\u00e4ten f\u00fcr die Authentifizierung und Autorisierung von Nutzern. Im Folgenden Klassendiagramm sind die Interfaces und Klassen f\u00fcr die Authentifizierung dargestellt.<\/p>\n

\"\"<\/a><\/p>\n

<\/p>\n

Standardm\u00e4\u00dfig sind im Framework bereits verschiedene Implementierungen vorhanden (z.B. f\u00fcr Datenbanken, LDAP u.a.). Mit wenig Aufwand kann man eigene Implementierungen wie die gegen das CoreMedia UserRepository implementieren.<\/p>\n

DerAuthenticationManager<\/a> <\/code>ist der zentrale Einstieg f\u00fcr die Authentifizierung. Er kann mehrere verschiedene AuthenticationProvider<\/code> <\/a>verwalten. \u00dcber das Authentication<\/code><\/a>-Objekt kann die Authentifizierung nur durch gew\u00fcnschte Provider erfolgen (AuthenticationProvider#supports(Class authentication)<\/code>).
\nDer UserDetailsService<\/code><\/a> l\u00e4dt das User-Objekt aus dem jeweiligen Repository per Namen (#loadUserByUsername(String username)). Der Provider \u00fcberpr\u00fcft das Passwort mit der Methode additionalAuthenticationChecks(...)<\/code>.<\/p>\n

Implementierung<\/h2>\n
public class CMUserDao implements UserDetailsService{\r\n...\r\npublic UserDetails loadUserByUsername(String username)\r\n  throws UsernameNotFoundException, DataAccessException {<\/pre>\n
UserRepository userRepository = capConnection.getUserRepository();<\/pre>\n
org.acegisecurity.userdetails.User user = null;\r\ntry {\r\nRepository repository = ContentRepositoryFactory.instance().getContentRepository();\r\nUser cmsUser = userRepository.getUserByName(username);<\/pre>\n
Collection < Group > groups = new ArrayList < Group >();\r\nif (cmsUser != null) {\r\n  groups = cmsUser.getGroups();\r\n} else {\r\n  throw new UsernameNotFoundException(username);\r\n}<\/pre>\n
Collection < GrantedAuthority > authorities = new ArrayList < GrantedAuthority >();<\/pre>\n
if (groups != null) {\r\n  for (Group group : groups) {\r\n    authorities.add(new GrantedAuthorityImpl(group.getName()));\r\n  }\r\n}\r\nuser = new org.acegisecurity.userdetails.User(username, \"\", true, true, true, true,\r\n  authorities.toArray(new GrantedAuthority[0]));<\/pre>\n
} catch (InvalidLoginException e) {\r\n  throw new BadCredentialsException(e.getMessage(), e);\r\n} catch (LicensesExceededException e) {\r\n  new BadCredentialsException(e.getMessage(), e);\r\n} catch (ConnectionNotOpenException e) {\r\n  new BadCredentialsException(e.getMessage(), e);\r\n}<\/pre>\n
return user;\r\n}\r\n...\r\n}<\/pre>\n
public class CMAuthenticationProvider extends\r\n    AbstractUserDetailsAuthenticationProvider implements AuthenticationProvider {\r\n...\r\nprotected void additionalAuthenticationChecks(UserDetails aUserDetails,\r\n\u00a0\u00a0\u00a0\u00a0\u00a0 UsernamePasswordAuthenticationToken aAuthenticationToken)\r\n\u00a0\u00a0\u00a0\u00a0\u00a0 throws AuthenticationException {\r\n\r\n\u00a0\u00a0\u00a0 String username = aUserDetails.getUsername();\r\n\u00a0\u00a0\u00a0 String password = aAuthenticationToken.getCredentials().toString();\u00a0\u00a0\u00a0\r\n\r\n\u00a0\u00a0\u00a0 boolean isValid = capConnection.isValidLogin(username, null, password);\r\n\r\n\u00a0\u00a0\u00a0 if (!isValid) {\r\n\u00a0\u00a0\u00a0\u00a0\u00a0 throw new BadCredentialsException(messages.getMessage(\r\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 \"AbstractUserDetailsAuthenticationProvider.badCredentials\",\r\n\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 \"Bad credentials\"), aUserDetails);\r\n\u00a0\u00a0\u00a0 }\r\n\u00a0 }\r\n...\r\n}<\/pre>\n
Benutzt man den AuthenticationProcessingFilter <\/code>aus dem Framework wird nach erfolgreicher Authentifizierung das Authentication-Objekt in den SecurityContext <\/code>geladen, einer ThreadLocal-Variable. Benutzt man einen eigenen Controller, muss man dies von Hand machen.<\/p>\n
auth = authenticationManager.authenticate(...);<\/pre>\n
SecurityContextHolder.getContext().setAuthentication(auth);<\/pre>\n
Spring-Konfiguration<\/h2>\n
<bean id=\"authenticationProcessingFilter\"\r\n >\r\n  <property name=\"authenticationManager\"><ref bean=\"authenticationManager\"\/><\/property>\r\n\u00a0 ...\r\n<\/bean>\r\n<bean id=\"authenticationManager\">\r\n  <property name=\"providers\">\r\n    <list>\r\n      <ref local=\"cmsDaoAuthenticationProvider\" \/>\r\n    <\/list>\r\n  <\/property>\r\n<\/bean>\r\n\r\n<bean id=\"cmsDao\"\/>\r\n\r\n<bean id=\"cmsDaoAuthenticationProvider\"\r\n >\r\n  <property name=\"userDetailsService\">\r\n    <ref bean=\"cmsDao\"\/>\r\n  <\/property>\r\n<\/bean><\/pre>\n
Links<\/h2>\n