スマホアプリとJavaアプリケーション間の通信に失敗する。

Question

IonicとSpring Bootを勉強しているものです。
自宅のローカル環境でIonicで作成したAndroidアプリケーションを使ってSpring Tool Suiteで実装したJavaプログラムと通信できるかをテストしています。
通信確認できたらアクセス権限設定を行うためにSpring Securityも導入しています。

registration.page.ts

import { HTTP } from '@ionic-native/http/ngx';

const HEADERS = {
  "Content-Type": "application/json;"
};

@Component({
  selector: 'app-registration',
  templateUrl: './registration.page.html',
  styleUrls: ['./registration.page.scss'],
})
export class RegistrationPage implements OnInit {

  constructor(
    private http: HTTP,
  ) { }

  ngOnInit() {
  }

  register(){
     let name = "user1";
     let password = "password";

     let data = {
       name: name,
       password: password,
     }

     this.http.setDataSerializer('json');
     this.http.post('http://(MacのIPアドレス):8080/register', data, HEADERS).then((data) => {
       alert("登録成功")
     }).catch((error) => {
       alert("登録エラー：" + JSON.stringify(error))
     });
  }
  
}

SampleController.java

   @RequestMapping(value="/register", method=RequestMethod.POST, produces="application/json; charset=UTF-8")
   public ResponseEntity<String> register(@Requestbody request){
       // まずはリクエストを受信できるかをチェックする
       System.out.println("リクエスト受信しました。");

      // TODO 会員登録処理を実装する

     return new ResponseEntity<>("{}", HttpStatus.OK);
   }

AppSecurityConfig.java

@Configuration
@EnableWebSecurity
public class AppSecurityConfig  extends WebSecurityConfigurerAdapter {
	@Override
	public void configure(WebSecurity web) throws Exception {
		web.ignoring().antMatchers("/css/**", "/js/**");
		web.httpFirewall(new AppHttpFirewall(sessionRegistry));
	}

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.sessionManagement()
			.maximumSessions(1)
			.maxSessionsPreventsLogin(true)
			.sessionRegistry(sessionRegistry())
		.and()
		.sessionFixation().newSession();

		http.authorizeRequests()
			.mvcMatchers(HttpMethod.GET, "/").permitAll()
			.mvcMatchers(HttpMethod.POST, "/register", "/authenticate").permitAll()
			.anyRequest().authenticated();

		http.formLogin()
			.loginProcessingUrl("/authenticate") //　ログイン処理URL
			.failureHandler(new AppAuthenticationFailureHandler()) //認証失敗時
			.successHandler(new AppAuthenticationSuccessHandler())
			.usernameParameter("name")
			.passwordParameter("password")
			.permitAll();
        }
}

AppHttpFirewall.java

public class AppHttpFirewall extends StrictHttpFirewall {
	
//	private static final Logger logger = LoggerFactory.getLogger("test_log");
	private SessionRegistry sessionRegistry;
	
	public AppHttpFirewall(SessionRegistry sessionRegistry) {
		super();
		this.sessionRegistry = sessionRegistry;
		return;
	}
	
	@Override
	public FirewalledRequest getFirewalledRequest(HttpServletRequest request) throws RequestRejectedException {
		System.out.println("検知したリクエストURL:" + request.getRequestURL());
		
		String userId = "";
		String cookieCerfToken = null;
		String userAgent = request.getHeader("user-agent");
		
		Cookie csrfToken = WebUtils.getCookie(request, "_csrf");
		if(Objects.nonNull(csrfToken)) {
			cookieCerfToken = csrfToken.getValue();
		}
		
		// セッションレジストリーからユーザー情報を取得しユーザIDを取得する
		SessionInformation sessionInfo = sessionRegistry.getSessionInformation(request.getSession().getId());
		if(Objects.nonNull(sessionInfo)) {
			Object principal = sessionInfo.getPrincipal();
			if(principal instanceof UserDetails) {
				DMUser user = (DMUser) principal;
				userId = user.getUser().getUserId();
			}
		}
		
		try {
			return super.getFirewalledRequest(request);
		} catch (RequestRejectedException e) {
			// 認証情報をクリアする
			SecurityContextHolder.clearContext();
			request.getSession().invalidate();
			// logger.error("リクエストURL不正")
			return new FirewalledRequest(request) {
				@Override
				public void reset() {
					return;
				}
			};
		}
	}
	
	@Override
	public HttpServletResponse getFirewalledResponse(HttpServletResponse response) {
		// TODO 自動生成されたメソッド・スタブ
		return super.getFirewalledResponse(response);
	}
	
}

AppAuthenticationProvider.java

public class AppAuthenticationProvider extends AbstractUserDetailsAuthenticationProvider {
	@Override
	protected UserDetails retrieveUser(String username, UsernamePasswordAuthenticationToken authentication)
			throws AuthenticationException {
		System.out.println("ユーザー名：" + username);
		System.out.println("パスワード：" + authentication.getCredentials().toString());

        // 動作確認のため一旦、例外をスローする
		throw new AuthenticationException("ログインに失敗") {

			/**
			 * 
			 */
			private static final long serialVersionUID = 1L;
		};
    }
}

pom.xml

   (省略)

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.3.4.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>5.3.4.RELEASE</version>
</dependency>

   (省略)

Spring Tool SuiteにてTomcatを起動させて外部リクエストを受け付け可能な状態にした上で動作確認用のスマホにIonicで作成したAndroidアプリケーションをインストールしリクエストを実行を行ったところ以下のエラーとなりました。
登録エラー：
{"status":-1, "error":"There was an error with the request: failed to connect to /[MacのIPアドレス](port 8080): connect failed: ECONNREFUSED (Connection refused)"}

pom.xml からSpring Securityの設定を消すと接続できました。
調べてみたところMacで外部接続を受け付けるにはhostファイルに ホスト名.localの記載が必要ということなので
以下の設定をしました。
127.0.0.1 localhost (ホスト名).local
::1 localhost (ホスト名).local

上記の設定をしてMacを再起動してから試してみたのですが、リクエスト実行に失敗してしまいます。
Spring Securityを導入したときの設定が足りていないのでしょうか？

Spring Securityの設定に詳しい方がいましたらご回答いただけないでしょうか？

Answer 1

実装に誤りがあったので見直したところ、問題解決できました。

Answer 2

SpringSecurityを導入しただけでSpringSecurityの設定が書かれていない場合は、アプリケーション全体にデフォルトの認証設定が発動し、/loginへリダイレクトしてログインページが表示されます。

Comments

[Linkey]

ご回答ありがとうございます。Spring Securityの設定をしてみましたが、接続がうまくできませんでした。
STSはMacにインストールしているのでMac上でlocalhost:8080とするとログインページが表示されるのですが、http://(MacのIPアドレス):8080でアクセスしようとするとタイムアウトエラーとなります。もう少し調べてみます。
ちなみにSTSのコンソールに以下のような出力があったので、外部接続できない問題にあるか調べています。
Using generated security password: XXXXXXXXXXXX

[Linkey]

application.propertiesにserver.addressを追加してから/registerへリクエスト実行したところアクセスできるようになりましたが、401エラーとなりました。
何か設定が足りていないのでしょうか？

[A-pZ]

401エラーは認証が必要であるレスポンスです。SpringSecurityの設定で認証対象のURLやパスにアクセスしているからではないかと。

[Linkey]

回答ありがとうございます。 アクセス制御は以下となっています。/registerには認証の設定はしておりません。
http.authorizeRequests()
.mvcMatchers(HttpMethod.GET, "/").permitAll()
.mvcMatchers(HttpMethod.POST, "/register").permitAll();

他に心当たりのある点はないか確認しています。

[A-pZ]

SpringSecurityの設定を拝見しましたが、

web.httpFirewall(new AppHttpFirewall(sessionRegistry));

このAppHttpFirewallの実装で何かされていますでしょうか。

[Linkey]

AppHttpFirewallについて実装内容を追加しました。改めてプロジェクトを見直したところ、Spring Securityの設定クラス群がエントリポイントのクラス(XXXApplication.java)の配下になかったので移動させてみたところ、リクエストの受付ができました。ログイン処理を実行すると/authenticateにリクエストが実行されてAppAuthenticationProviderクラスのretrieveUserメソッドが実行されるのですが、ユーザー名とパスワードが空となってしまいます。CSRFの未設定の問題でしょうか？そこの部分の原因を確認しています。