spring-securityのaclをうごかす

spring-securityのDomain Object Security (ACLs)のhelllo world的なとりあえず動くところまでをやる。

ソースコード

build.gradle

plugins {
    id 'org.springframework.boot' version '2.2.2.RELEASE'
    id 'io.spring.dependency-management' version '1.0.8.RELEASE'
    id 'java'
}

dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-security'
    implementation 'org.springframework.boot:spring-boot-starter-web'
    implementation 'org.springframework.boot:spring-boot-starter-thymeleaf'
    implementation 'org.springframework.boot:spring-boot-starter-jdbc'
    implementation 'org.springframework.boot:spring-boot-devtools'
    
    implementation 'org.springframework.security:spring-security-acl'
    implementation 'org.springframework.security:spring-security-config'
}

DBにテーブルなど作成

この機能はRDBにACLのデータを保存するため、あらかじめテーブルなどを作っておく必要がある。作成用のクエリはRDBごとに異なり Spring Security Reference - 20.1.3 ACL Schemaもしくはspring-security-acl-x.x.x.RELEASE.jarの中にあるので、それを単に実行すれば良い。

application.properties

前述の通りDBを使用するためDataSourceの設定が必要。今回はOracleを使用するため、以下のようなDB接続設定を作成。

spring.datasource.driver-class-name=oracle.jdbc.OracleDriver
spring.datasource.url=jdbc:oracle:thin:@localhost:11521/XEPDB1
spring.datasource.username=xxxx
spring.datasource.password=xxxx

GlobalMethodSecurityConfigurationを拡張してACL設定

詳細はここでは触れない。かなり良くまとめられている https://qiita.com/opengl-8080/items/24a3118ef36bcf55ba71 を参照。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.cache.support.NoOpCache;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler;
import org.springframework.security.access.expression.method.MethodSecurityExpressionHandler;
import org.springframework.security.acls.AclPermissionEvaluator;
import org.springframework.security.acls.domain.AclAuthorizationStrategy;
import org.springframework.security.acls.domain.AclAuthorizationStrategyImpl;
import org.springframework.security.acls.domain.ConsoleAuditLogger;
import org.springframework.security.acls.domain.DefaultPermissionGrantingStrategy;
import org.springframework.security.acls.domain.SpringCacheBasedAclCache;
import org.springframework.security.acls.jdbc.BasicLookupStrategy;
import org.springframework.security.acls.jdbc.JdbcMutableAclService;
import org.springframework.security.acls.jdbc.LookupStrategy;
import org.springframework.security.acls.model.AclCache;
import org.springframework.security.acls.model.PermissionGrantingStrategy;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.method.configuration.GlobalMethodSecurityConfiguration;
import org.springframework.security.core.authority.SimpleGrantedAuthority;

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class AclMethodSecurityConfiguration extends GlobalMethodSecurityConfiguration {

    @Bean
    public JdbcMutableAclService aclService(DataSource dataSource, LookupStrategy lookupStrategy, AclCache aclCache) {
        JdbcMutableAclService s = new JdbcMutableAclService(dataSource, lookupStrategy, aclCache);
        s.setClassIdentityQuery("select acl_class_sequence.CURRVAL from dual");
        s.setSidIdentityQuery("select acl_sid_sequence.CURRVAL from dual");
        return s;
    }

    @Bean
    public LookupStrategy lookupStrategy(DataSource dataSource, AclCache aclCache) {
        return new BasicLookupStrategy(dataSource, aclCache, aclAuthorizationStrategy(), new ConsoleAuditLogger());
    }

    @Bean
    public AclCache aclCache(PermissionGrantingStrategy permissionGrantingStrategy,
            AclAuthorizationStrategy aclAuthorizationStrategy) {
        return new SpringCacheBasedAclCache(new NoOpCache("myCache"), permissionGrantingStrategy,
                aclAuthorizationStrategy);
    }

    @Bean
    public AclAuthorizationStrategy aclAuthorizationStrategy() {
        return new AclAuthorizationStrategyImpl(new SimpleGrantedAuthority("DUMMY"));
    }

    @Bean
    public PermissionGrantingStrategy permissionGrantingStrategy() {
        return new DefaultPermissionGrantingStrategy(new ConsoleAuditLogger());
    }

    @Autowired
    MethodSecurityExpressionHandler defaultMethodSecurityExpressionHandler;

    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        return defaultMethodSecurityExpressionHandler;
    }

    @Bean
    public MethodSecurityExpressionHandler defaultMethodSecurityExpressionHandler(DataSource dataSource,
            LookupStrategy lookupStrategy, AclCache aclCache) {
        DefaultMethodSecurityExpressionHandler expressionHandler = new DefaultMethodSecurityExpressionHandler();
        AclPermissionEvaluator permissionEvaluator = new AclPermissionEvaluator(
                aclService(dataSource, lookupStrategy, aclCache));
        expressionHandler.setPermissionEvaluator(permissionEvaluator);
        return expressionHandler;

    }
}

RDBごとにシーケンス取得SQLは異なるためsetClassIdentityQueryとsetSidIdentityQueryで指定する。上はOracleの場合。

AclAuthorizationStrategyは今回は使わないので適当なauthorityを指定するに留めている。

ACL追加＆チェック

以上で最低限の設定が完了したので、ACLの追加とそれを使用したチェックを実行してみる。

まず、サンプル動作のために、ACLと直接関係は無いがprincipalをkagami固定でログインするようにしておく。

@Component
public class MyAuthenticationManager implements AuthenticationManager {
    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        return new UsernamePasswordAuthenticationToken("kagami", "hoge");
    }
}

以下はACL対象となるデータを持つクラス。詳細は省略するがlong型のidを持つ必要がある。

public class User {
    private long id;

    public User() {
        super();
    }

    public User(long id) {
        super();
        this.id = id;
    }

    public long getId() {
        return id;
    }

    public void setId(long id) {
        this.id = id;
    }
}

以下はエントリーポイントと、ACLを作成する/create-aclおよびACLでチェックを行う/userを持つクラス。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.WebApplicationType;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.boot.builder.SpringApplicationBuilder;
import org.springframework.security.acls.domain.BasePermission;
import org.springframework.security.acls.domain.ObjectIdentityImpl;
import org.springframework.security.acls.domain.PrincipalSid;
import org.springframework.security.acls.model.AccessControlEntry;
import org.springframework.security.acls.model.MutableAcl;
import org.springframework.security.acls.model.MutableAclService;
import org.springframework.security.acls.model.ObjectIdentity;
import org.springframework.stereotype.Controller;
import org.springframework.transaction.annotation.Transactional;
import org.springframework.web.bind.annotation.GetMapping;

@SpringBootApplication
@Controller
public class App {
    public static void main(String[] args) {
        new SpringApplicationBuilder(App.class).web(WebApplicationType.SERVLET).run(args);
    }

    @Autowired
    SampleService sample;

    @Autowired
    MutableAclService aclService;

    @Transactional
    @GetMapping("/create-acl")
    public String createAcl() {
        ObjectIdentity objectIdentity = new ObjectIdentityImpl(User.class, 7L);
        MutableAcl createAcl = aclService.createAcl(objectIdentity);

        List<AccessControlEntry> entries = createAcl.getEntries();
        PrincipalSid principalSid = new PrincipalSid("kagami");
        createAcl.insertAce(entries.size(), BasePermission.READ, principalSid, true);

        aclService.updateAcl(createAcl);

        return "index";
    }

    @GetMapping("/user")
    public String user() {
        sample.getUser();
        return "index";
    }
}

サンプルなので、ACLのIDは7・principalはkagamiで固定しREAD権限を付与している。

次に、@PostAuthorize(value = "hasPermission(returnObject, 'READ')")で、サービスメソッド実行後の戻り値オブジェクト（IDが7）に対してREAD権限を持つかどうか、をチェックしている。

以上で、spring-securityのACL設定とその実行の最低限を作ることが出来た。

ハマりどころ

ORA-06576: ファンクション名またはプロシージャ名が無効です。

StatementCallback; bad SQL grammar [call identity()]; nested exception is java.sql.SQLException: ORA-06576: ファンクション名またはプロシージャ名が無効です。
org.springframework.jdbc.BadSqlGrammarException: StatementCallback; bad SQL grammar [call identity()]; nested exception is java.sql.SQLException: ORA-06576: ファンクション名またはプロシージャ名が無効です。

前述の通り、シーケンスから値を取得するSQLはRDBごとに異なるため、使用するRDBに合わせたクエリを指定する必要がある。デフォルトはHSQLDBでcall identity()になっている。

参考文献

• https://qiita.com/opengl-8080/items/24a3118ef36bcf55ba71
• https://docs.spring.io/spring-security/site/docs/current/reference/htmlsingle/
• https://github.com/Maksym-dev/spring-boot-security-acl-example
• https://www.baeldung.com/spring-security-acl