存储信息

Question

我想补充的客人功能：这意味着客人是像用户对象，但不持久，并有ROLE_GUEST而不是ROLE_USER。我想在会话中存储一个guestID，所以当客人做某事时，我可以检索客人并根据客人的名字采取行动。如果我想保留Stateless Servlet，我将如何添加此信息。

我的注册用户当前的登录是这样的：

auth = new UsernamePasswordAuthenticationToken(username, password, auths); 
Authentication result = authManager.authenticate(auth); 
SecurityContextHolder.getContext().setAuthentication(result); 

我在寻找任何类似这样还是有办法在SecurityContextHolder.getContext直接添加客人姓名的地方（）的东西。我是否可以在弹簧Session对象或其他会话中存储此信息？我不使用Spring MVC。

Answer 1

而不是假的UsernamePasswordAuthenticationToken你应该使用框架提供的anonymous authentication mechanism。您可以使用安全命名空间进行配置：

<security:http ....> 
    .... 
    <security:anonymous username="guest" granted-authority="ROLE_GUEST"/> 
</security:http> 

这将导致AnonymousAuthenticationFilter将一个AnonymousAuthenticationToken与所提供的名称和角色到安全范围内。 （当然，只有在UsernamePasswordAuthenticationFilter等其他过滤器无法对用户进行身份验证时才会发生这种情况。）