Eliminar “Usar contraseña de seguridad predeterminada” en Spring Boot

Question 1

Agregué una configuración de seguridad personalizada en mi aplicación en Spring Boot, pero el mensaje sobre “Usar contraseña de seguridad predeterminada” todavía está en el archivo LOG.

¿Hay alguno para quitarlo? No necesito esta contraseña predeterminada. Parece que Spring Boot no reconoce mi política de seguridad.

@Configuration
@EnableWebSecurity
public class CustomSecurityConfig extends WebSecurityConfigurerAdapter {

    private final String uri = "/custom/*";

    @Override
    public void configure(final HttpSecurity http) throws Exception {
        http.csrf().disable();
        http.headers().httpStrictTransportSecurity().disable();
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

        // Authorize sub-folders permissions
        http.antMatcher(uri).authorizeRequests().anyRequest().permitAll();
    }
}

Question 2

Encontré una solución para excluir SeguridadAutoConfiguración clase.

Ejemplo:

@SpringBootApplication(exclude = {SecurityAutoConfiguration.class })
public class ReportApplication {

    public static void main(String[] args) throws Exception {
        SpringApplication.run(MyApplication.class, args);
    }
}

Question 3

Usando Spring Boot 2.0.4 me encontré con el mismo problema.

Excluyendo SecurityAutoConfiguration.class destruyó mi aplicación.

ahora estoy usando @SpringBootApplication(exclude= {UserDetailsServiceAutoConfiguration.class})

funciona bien con @EnableResourceServer y JWT :)

Question 4

Agregar lo siguiente en application.properties trabajó para mi,

security.basic.enabled=false

Recuerda reiniciar la aplicación y verificar en la consola.

Question 5

Aunque funciona, la solución actual es un poco exagerada, como se indica en algunos comentarios. Entonces, aquí hay una alternativa que funciona para mí, usando el último Spring Boot (1.4.3).

La contraseña de seguridad predeterminada se configura dentro de Spring Boot Configuración del administrador de autenticación clase. Esta clase tiene una anotación condicional para evitar que se cargue si ya se ha definido un bean AuthenticationManager.

El siguiente código funciona para evitar la ejecución del código dentro de AuthenticationManagerConfiguration porque definimos nuestro AuthenticationManager actual como un bean.

@Configuration
@EnableWebSecurity
public class MyCustomSecurityConfig extends WebSecurityConfigurerAdapter{

[...]

@Override
protected void configure(AuthenticationManagerBuilder authManager) throws Exception {
    // This is the code you usually have to configure your authentication manager.
    // This configuration will be used by authenticationManagerBean() below.
}

@Bean
public AuthenticationManager authenticationManagerBean() throws Exception {
    // ALTHOUGH THIS SEEMS LIKE USELESS CODE,
    // IT'S REQUIRED TO PREVENT SPRING BOOT AUTO-CONFIGURATION
    return super.authenticationManagerBean();
}

}

Question 6

Para Reactive Stack (Spring Webflux, Netty), debe excluir ReactiveUserDetailsServiceAutoConfiguration.class

@SpringBootApplication(exclude = {ReactiveUserDetailsServiceAutoConfiguration.class})

O defina el bean ReactiveAuthenticationManager (hay diferentes implementaciones, aquí está el ejemplo de JWT)

@Bean
public ReactiveJwtDecoder jwtDecoder() {
    return new NimbusReactiveJwtDecoder(keySourceUrl);
}
@Bean
public ReactiveAuthenticationManager authenticationManager() {
    return new JwtReactiveAuthenticationManager(jwtDecoder());
}

Question 7

Simplemente use las filas a continuación:

spring.security.user.name=XXX
spring.security.user.password=XXX

para establecer el nombre de usuario y la contraseña de seguridad predeterminados en su application.properties (el nombre puede diferir) dentro del contexto de la aplicación Spring.

Para evitar la configuración predeterminada (como parte de la configuración automática de SpringBoot), utilice el enfoque mencionado anteriormente en Respuestas:

@SpringBootApplication(exclude = {SecurityAutoConfiguration.class })

o

@EnableAutoConfiguration(exclude = { SecurityAutoConfiguration.class })

Question 8

Para eliminar el usuario predeterminado, debe configurar el administrador de autenticación sin usuarios, por ejemplo:

@configuration
class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication();
    }
}

esto eliminará el mensaje de contraseña predeterminado y el usuario predeterminado porque en ese caso está configurando InMemoryAuthentication y no especificará ningún usuario en los próximos pasos

¿Ha sido útil esta solución?