为什么 spring.security.user.name 和密码不适用于通过 Spring Boot 2 使用的 Spring 云配置服务器？

Question

我正在尝试保护我的 Spring 云配置服务器。作为第一步，我遵循了非常简单的教程。配置服务器在未经授权的情况下工作正常。但是当我想使用非常简单的基本身份验证时，问题就开始了。我在属性 spring.security.user.name 和 spring.security.user.password 中定义了自己的用户名和密码，但服务似乎不起作用与那些。

当我只保留这些属性并使用默认 "user" 和生成的密码时，一切都很好。我坚持了一段时间，并试图解决这个问题。

这是我的配置服务器 pom.xml 文件的重要部分：

<artifactId>tao-elszamolas-config</artifactId>
<packaging>jar</packaging>

<name>tao-elszamolas-config</name>
<description>Some config service</description>

<parent>
    <groupId>com.mycompany.tao</groupId>
    <artifactId>tao-elszamolas</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <relativePath>../pom.xml</relativePath> 
</parent>

<dependencies>
    <!-- Spring Cloud config server -->
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-config-server</artifactId>
    </dependency>

    <!-- Spring Cloud Eureka client -->
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-netflix-eureka-client</artifactId>
    </dependency>

    <!-- Spring Security -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
</dependencies>

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-dependencies</artifactId>
            <version>${spring-cloud.version}</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

<repositories>
    <repository>
        <id>spring-milestones</id>
        <name>Spring Milestones</name>
        <url>https://repo.spring.io/milestone</url>
        <snapshots>
            <enabled>false</enabled>
        </snapshots>
    </repository>
</repositories>

这是配置服务器application.yml:

server:
  port: 9001

spring:
  application:
    name: config-server
  cloud:
    config:
      server:
        git:
          uri: file://${user.home}/application-config
          clone-on-start: true
  security:
    user:
      name: configUser
      password: configPassword

eureka:  
  client:
    serviceUrl:
      defaultZone: http://localhost:9002/eureka/

配置客户端基本上是发现服务。（我想实现其他微服务使用的发现优先模型。）这是配置客户端服务（在我的例子中是发现服务）的 pom.xml 的重要部分：

<name>tao-elszamolas-discovery</name>
<description>Some service discovery</description>

<parent>
    <groupId>com.mycompany.tao</groupId>
    <artifactId>tao-elszamolas</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <relativePath>../pom.xml</relativePath> 
</parent>

<dependencies>
    <!-- Spring Cloud Netflix Eureka service registry server -->
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-netflix-eureka-server</artifactId>
    </dependency>

    <!-- Spring Cloud config client -->
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-config-client</artifactId>
    </dependency>

</dependencies>

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-dependencies</artifactId>
            <version>${spring-cloud.version}</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

<repositories>
    <repository>
        <id>spring-milestones</id>
        <name>Spring Milestones</name>
        <url>https://repo.spring.io/milestone</url>
        <snapshots>
            <enabled>false</enabled>
        </snapshots>
    </repository>
</repositories>

这是配置客户端服务的bootstrap.yml：

spring:
  application:
    name: discovery-server
  cloud:
    config:
      name: discovery-server
      uri: http://localhost:9001
      username: configUser
      password: configPassword

因此，如果我从配置服务器的 application.yml 中删除用户名和密码，并使用默认的 user作为用户名，并在发现服务器的 bootstrap.yml 中生成密码，然后一切正常。

有谁知道为什么自定义用户名和密码不起作用？

非常感谢任何帮助。我可能犯了一个非常微不足道的错误，只是没有真正认识到它。

Answer 1

更新：

我稍微调试了一下 Spring 框架。我在最新版本的 spring-security-core-5.1.1.RELEASE.jar 中发现了一些非常有趣的事实，更具体地说，在 InMemoryUserDetailsManager class.

在此 class 中创建用户时调用此方法：

    public void createUser(UserDetails user) {
        Assert.isTrue(!userExists(user.getUsername()), "user should not exist");

        users.put(user.getUsername().toLowerCase(), new MutableUser(user));
    }

重点应该放在这部分：

user.getUsername().toLowerCase()

因为当它试图为用户更新密码时，它使用了这个方法：

    @Override
    public UserDetails updatePassword(UserDetails user, String newPassword) {
        String username = user.getUsername();
        MutableUserDetails mutableUser = this.users.get(username);
        mutableUser.setPassword(newPassword);
        return mutableUser;
    }

是的，如您所见，updatePassword方法与class的其余部分不一致，因为它不转换用户名 为小写。因此，如果您像这样在属性文件中定义用户，它将永远无法工作：configUser.

我查看了Github中的Spring源代码后，发现 this.

结论：

问题是用户名而不是密码。如果你想完成这项工作，你有以下选择：

如果您在 Spring 引导，请使用最新的父版本，即 2.1。1.RELEASE
如果您坚持使用spring-security-core-5.1.1.RELEASE.jar，您应该只使用小写用户名.

为什么 spring.security.user.name 和密码不适用于通过 Spring Boot 2 使用的 Spring 云配置服务器？

Why spring.security.user.name and password don't work with Spring cloud config server used via Spring Boot 2?

spring

basic-authentication

spring-boot

spring-cloud-config