6. 集成 Spring Security

在我們已經實現的用户創建和登錄功能的基礎上，讓我們使用 Firebase Authentication 與 Spring Security 保護我們的私有 API 端點。

6.1. 創建自定義認證 Filter

首先，我們將創建一個擴展 OncePerRequestFilter 類的自定義認證過濾器:

@Component
class TokenAuthenticationFilter extends OncePerRequestFilter {

    private static final String BEARER_PREFIX = "Bearer ";
    private static final String USER_ID_CLAIM = "user_id";
    private static final String AUTHORIZATION_HEADER = "Authorization";

    private final FirebaseAuth firebaseAuth;
    private final ObjectMapper objectMapper;

    // standard constructor

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
      FilterChain filterChain) {
        String authorizationHeader = request.getHeader(AUTHORIZATION_HEADER);

        if (authorizationHeader != null && authorizationHeader.startsWith(BEARER_PREFIX)) {
            String token = authorizationHeader.replace(BEARER_PREFIX, "");
            Optional<String> userId = extractUserIdFromToken(token);

            if (userId.isPresent()) {
                var authentication = new UsernamePasswordAuthenticationToken(userId.get(), null, null);
                authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
                SecurityContextHolder.getContext().setAuthentication(authentication);
            } else {
                setAuthErrorDetails(response);
                return;
            }
        }
        filterChain.doFilter(request, response);
    }

    private Optional<String> extractUserIdFromToken(String token) {
        try {
            FirebaseToken firebaseToken = firebaseAuth.verifyIdToken(token, true);
            String userId = String.valueOf(firebaseToken.getClaims().get(USER_ID_CLAIM));
            return Optional.of(userId);
        } catch (FirebaseAuthException exception) {
            return Optional.empty();
        }
    }

    private void setAuthErrorDetails(HttpServletResponse response) {
        HttpStatus unauthorized = HttpStatus.UNAUTHORIZED;
        response.setStatus(unauthorized.value());
        response.setContentType(MediaType.APPLICATION_JSON_VALUE);
        ProblemDetail problemDetail = ProblemDetail.forStatusAndDetail(unauthorized,
          "Authentication failure: Token missing, invalid or expired");
        response.getWriter().write(objectMapper.writeValueAsString(problemDetail));
    }

}

在我們的 doFilterInternal() 方法中，我們從傳入的 HTTP 請求中提取 Authorization 頭，並移除 Bearer 前綴以獲取 JWT token。

然後，使用我們私有的 extractUserIdFromToken() 方法，我們驗證 token 的真實性並從其 user_id claim 中提取。

如果 token 驗證失敗，我們將創建一個 ProblemDetail 錯誤響應，使用 ObjectMapper 將其轉換為 JSON，並將其寫入 HttpServletResponse。

如果 token 有效，我們將創建一個 UsernamePasswordAuthenticationToken 的新實例，其中 userId 作為 Principal，然後將其設置到 SecurityContext

在成功認證後，我們可以從 SecurityContext 中檢索已認證用户的 userId ，在我們的服務層:

String userId = Optional.ofNullable(SecurityContextHolder.getContext().getAuthentication())
  .map(Authentication::getPrincipal)
  .filter(String.class::isInstance)
  .map(String.class::cast)
  .orElseThrow(IllegalStateException::new);

為了遵循單一職責原則，我們可以將我們的上述邏輯放在一個單獨的 AuthenticatedUserIdProvider 類中。 這有助於服務層保持已認證用户與他們執行的操作之間的關係。

6.2. 配置 SecurityFilterChain

最後，讓我們配置我們的 SecurityFilterChain 以使用我們的自定義認證過濾器:

private static final String[] WHITELISTED_API_ENDPOINTS = { "/user", "/user/login", "/user/refresh-token" };

private final TokenAuthenticationFilter tokenAuthenticationFilter;

// standard constructor

@Bean
public SecurityFilterChain configure(HttpSecurity http) {
    http
      .authorizeHttpRequests(authManager -> {
        authManager.requestMatchers(HttpMethod.POST, WHITELISTED_API_ENDPOINTS)
          .permitAll()
          .anyRequest()
          .authenticated();
      })
      .addFilterBefore(tokenAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);

    return http.build();}

我們允許未身份驗證訪問 /user、/user/login 和 /user/refresh-token 端點，這些端點對應於我們的用户註冊、登錄和刷新令牌交換功能。

最後，我們將我們的自定義 TokenAuthenticationFilter 在 UsernamePasswordAuthenticationFilter 之前添加到過濾器鏈中。

此設置確保了我們的私有 API 端點受到保護，並且僅允許具有有效 JWT 令牌的請求訪問它們

7. 結論

在本文中，我們探討了如何將 Firebase 身份驗證與 Spring Security 集成。

我們完成了必要的配置，實現了用户註冊、登錄和刷新令牌交換功能，並創建了一個自定義 Spring Security 過濾器來保護我們的私有 API 端點。

通過使用 Firebase 身份驗證，我們可以將管理用户憑據和訪問的複雜性外包出去，從而使我們能夠專注於構建核心功能。