0

maven - How to add new user to Spring Security at runtime - Stack Overflow回答

引用:

List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();
authorities.add(new SimpleGrantedAuthority("ROLE_USER"));
UserDetails user = new User("[email protected]", passwordEncoder.encode("s3cr3t"), authorities);
userDetailsManager.createUser(user);
Authentication authentication = new UsernamePasswordAuthenticationToken(user, null, authorities);
SecurityContextHolder.getContext().setAuthentication(authentication);

というのがありました。

おそらく userDetailsManager.createUser(user); でユーザー登録がDBに反映されていることと思います。その後の

SecurityContextHolder.getContext().setAuthentication(authentication);

の部分はなぜ行っているのでしょうか?(どういった場面が想定されているのでしょうか?)

たとえば Spring Securityでユーザ認証を実装してみる - ももいろテクノロジー こちらのサイトにもユーザー登録の例がありましたがsetAuthentication に該当するようなものは見かけられませんでした。

2 件の回答 2

1

setAuthenticationはその名の通りコンテキストに認証情報を設定するメソッドです。要するにログイン認証OKであることを表します。

どういった場面が想定されているのでしょうか?

状況の説明が不足しているので回答者が何を言いたいのかいまいちわかりませんが、仮に連続で1-5の手続きを行えば良いんだ、ということを言っているのであれば、

  • ユーザが入会フォームに情報を記入し登録ボタンを押した。システムはユーザ登録を行い、そのままセッションをログイン状態にする。

みたいな状況を想定していると思われます。
(…なので、元々の質問に対しての回答になっていないし、どういう意図で敢えてこのコードを回答として書いたのかもよくわかりません。正直この回答コードを理解しようとする努力に益は無いと思います…)


他方、後者リンク先のコードは、ユーザ登録はユーザ登録、ログインはログインで独立しています。
ユーザ登録完了したら、別途ログインボタンを押して認証を受けてくださいね、ということです。

なお、後者のコードにおいて、ログイン処理では、

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    ...
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/login", "/login-error").permitAll()
                .antMatchers("/**").hasRole("USER")
                .and()
            .formLogin()
                .loginPage("/login").failureUrl("/login-error");
    }
    ...

上記コンフィグでformLogin()によってUsernamePasswordAuthenticationFilterが有効化されますので、認証OKなら UsernamePasswordAuthenticationFilter#successfulAuthentication内でsetAuthenticationが呼ばれます。


蛇足になりますが、この辺のアーキテクチャ概要が下のリンク先にまとまっています:


更に蛇足になりますが、その質問者が聞きたいのは、
「実行中にユーザテーブルにユーザが増えていくわけだけど、このユーザテーブルを用いて認証するにはどうすればいいの?」
ということ(つまり、"I save users in a DB table via Hibernate"ということなのでユーザ登録は既にやっており、聞きたいのはユーザ登録の方法ではなくて、そのデータを用いた認証方法である/"how to add new user to Spring Security"という聞き方になっているのは、質問者がSpring Securityにユーザ登録しないといけないと勘違いしている)と理解しましたので、回答としてはこんな感じになるかと思います。

3
  • …と思ったのですが、更に見返してみると本当にユーザの追加方法からしてわからないという質問なのかも、という気もしてきました…(とするとSpring Securityの質問ではなくHibernateの質問、ということになりそうですが) Commented 2020年6月10日 0:55
  • ネットにある情報のほとんどがユーザーがすでにサインアップしている前提で、UserDetailsServiceを継承してログインシステムを作っている例が多いですね(しかもDBを用意していることが多い)。しかし一方のサインアップはインメモリですませている例が多いです。私もDB保存を用いたSpringSecurityの一般的なサインアップの方法を探して上記のSOの質問にたどり着いたので、もしかしたら、本当にユーザーの追加方法がわかってないかもしれませんね。 Commented 2020年6月10日 1:06
  • どこまでがSpringSecurityのお作法にそって作るべきで、どこまでが普通にHibernateを使って作るのか、わかりずらいですね。始めて触ると。(頂いた回答と、私が書いた後者の日本語の参考ページのおかけで、切り分けがだいたいわかってきたところではあります) Commented 2020年6月10日 1:14
1

Javadocにはこんなことが書いてありますね。

https://docs.spring.io/spring-security/site/docs/current/api/org/springframework/security/core/Authentication.html

Once the request has been authenticated, the Authentication will usually be stored in a thread-local SecurityContext managed by the SecurityContextHolder by the authentication mechanism which is being used. An explicit authentication can be achieved, without using one of Spring Security's authentication mechanisms, by creating an Authentication instance and using the code:

SecurityContextHolder.getContext().setAuthentication(anAuthentication);

つまり、認証されると、通常は使用している(Spring Securityなどの)認証メカニズムによってSecurityContextAuthenticationがセットされるけど、認証メカニズムを使用しないケースではセットされないので、明示的にセットしてねってことだと思います。

なので、Spring Securityで認証している本文リンク先のケースではsetAuthentication()していないのではないでしょうか。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。