SpringSecurity中文文档（Servlet Authorize HttpServletRequests）

于 2024-07-08 15:13:53 发布
阅读量1k 收藏 27
点赞数 30
分类专栏： SpirngSecurity中文文档 文章标签： servlet spring boot spring java spring cloud
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/znjy111/article/details/140269591
版权

Authorize HttpServletRequests

SpringSecurity 允许您在请求级别对授权进行建模。例如，对于 Spring Security，可以说/admin 下的所有页面都需要一个权限，而其他所有页面只需要身份验证。

默认情况下，SpringSecurity 要求对每个请求进行身份验证。也就是说，任何时候使用 HttpSecurity 实例，都需要声明授权规则。

无论何时有 HttpSecurity 实例，您至少应该这样做:

Use authorizeHttpRequests

http
    .authorizeHttpRequests((authorize) -> authorize
        .anyRequest().authenticated()
    )

这告诉 Spring Security，应用程序中的任何端点都需要至少对安全上下文进行身份验证才能允许它。

在许多情况下，您的授权规则将比这更复杂，因此请考虑以下用例:

Understanding How Request Authorization Components Work

本节通过深入研究基于 Servlet 的应用程序中的请求级授权如何工作，构建在 Servlet 体系结构和实现的基础上。

authorizationfilter

  • number 1 首先，AuthorizationFilter 构建了一个 Supplier，用于从 SecurityContextHolder 检索 Authentication。（First, the AuthorizationFilter constructs a Supplier that retrieves an Authentication from the SecurityContextHolder.）
  • number 2 第二，它将 Supplier 和 HttpServletRequest 传递给 AuthorizationManager。AuthorizationManager 将请求与 authorizeHttpRequests 中的模式进行匹配，并运行相应的规则。
    • number 3 如果授权被拒绝，将发布一个 AuthorizationDeniedEvent，并抛出一个 AccessDeniedException。在这种情况下，ExceptionTranslationFilter 将处理 AccessDeniedException。
    • number 4如果授予访问权限，则发布 AuthorizationGrantedEvent，AuthorizationFilter 继续使用 FilterChain，它允许应用程序正常处理。

AuthorizationFilter Is Last By Default

AuthorizationFilter 默认是 Spring Security 过滤器链中的最后一个。这意味着 Spring Security 的认证过滤器、漏洞保护以及其他过滤器集成不需要授权。如果您在 AuthorizationFilter 之前添加自己的过滤器，它们也不需要授权；否则，它们将需要授权。

一个典型的场景是当您添加 Spring MVC 端点时。因为它们由 DispatcherServlet 执行，这发生在 AuthorizationFilter 之后，所以您的端点需要被包含在 authorizeHttpRequests 中才能被允许。

All Dispatches Are Authorized

AuthorizationFilter 不仅在每次请求时运行，而且在每次分发时都会运行。这意味着 REQUEST 分发需要授权，但 FORWARD、ERROR 和 INCLUDE 也是如此。

例如，Spring MVC 可以将请求转发到呈现 Thymeleaf 模板的视图解析器，如下所示:

@Controller
public class MyController {
    @GetMapping("/endpoint")
    public String endpoint() {
        return "endpoint";
    }
}

在这种情况下，授权发生两次; 一次用于授权/端点，一次用于转发到 Thymeleaf 以呈现“端点”模板。

因此，您可能希望允许所有 FORWARD 分派。

这个原则的另一个例子是 SpringBoot 如何处理错误。如果容器捕获到异常，则如下所示:

Sample Erroring Spring MVC Controller

@Controller
public class MyController {
    @GetMapping("/endpoint")
    public String endpoint() {
        throw new UnsupportedOperationException("unsupported");
    }
}

然后 Boot 会将其发送到 ERROR 调度。

在这种情况下，授权也会发生两次: 一次用于授权/端点，一次用于分派错误。

因此，您可能希望允许所有 ERROR 分派。

Authentication Lookup is Deferred

记住 AuthorizationManager API 使用 Supplier < Authentication > 。

当请求总是被允许或总是被拒绝时，这与 AuthorizeHttpRequest 有关。在这些情况下，不会查询身份验证，从而使请求速度更快。

Authorizing an Endpoint

通过在优先顺序中添加更多规则，可以将 Spring Security 配置为具有不同的规则。

如果您希望只有具有 USER 权限的最终用户才能访问该/端点，那么您可以这样做:

@Bean
public SecurityFilterChain web(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests((authorize) -> authorize
	    .requestMatchers("/endpoint").hasAuthority("USER")
            .anyRequest().authenticated()
        )
        // ...

    return http.build();
}

如您所见，声明可以分解为pattern/rule对。

AuthorizationFilter 按列出的顺序处理这些对，只将第一个匹配应用到请求上。这意味着，即使 /** 也会匹配 /endpoint，上述规则也不是问题。阅读上述规则的方式是：“如果请求是 /endpoint，则需要 USER 权限；否则，只需认证”。

SpringSecurity 支持多种模式和多种规则; 您还可以通过编程方式创建自己的模式和规则。

一旦授权，您可以使用 Security 的测试支持以下方式对其进行测试:

Test Endpoint Authorization

@WithMockUser(authorities="USER")
@Test
void endpointWhenUserAuthorityThenAuthorized() {
    this.mvc.perform(get("/endpoint"))
        .andExpect(status().isOk());
}

@WithMockUser
@Test
void endpointWhenNotUserAuthorityThenForbidden() {
    this.mvc.perform(get("/endpoint"))
        .andExpect(status().isForbidden());
}

@Test
void anyWhenUnauthenticatedThenUnauthorized() {
    this.mvc.perform(get("/any"))
        .andExpect(status().isUnauthorized());
}

Matching Requests

上面已经介绍了两种匹配请求的方法。

您看到的第一个是最简单的，即匹配任何请求。

第二种是通过 URI 模式进行匹配。Spring Security 支持两种用于 URI 模式匹配的语言: Ant (如上所示)和正则表达式。

Matching Using Ant

Ant 是 Spring Security 用来匹配请求的默认语言。

您可以使用它来匹配单个端点或目录，甚至可以捕获占位符以供以后使用。您还可以对其进行细化以匹配一组特定的 HTTP 方法。

假设您不希望匹配/endpoint 端点，而是希望匹配/resource 目录下的所有端点。在这种情况下，您可以执行以下操作:

Match with Ant

http
    .authorizeHttpRequests((authorize) -> authorize
        .requestMatchers("/resource/**").hasAuthority("USER")
        .anyRequest().authenticated()
    )

解读方法是“如果请求是/resource 或某个子目录，则需要 USER 权限; 否则，只需要身份验证”

您还可以从请求中提取路径值，如下所示:

Authorize and Extract

http
    .authorizeHttpRequests((authorize) -> authorize
        .requestMatchers("/resource/{name}").access(new WebExpressionAuthorizationManager("#name == authentication.name"))
        .anyRequest().authenticated()
    )

一旦授权，您可以使用 Security 的测试支持以下方式对其进行测试:

Test Directory Authorization

@WithMockUser(authorities="USER")
@Test
void endpointWhenUserAuthorityThenAuthorized() {
    this.mvc.perform(get("/endpoint/jon"))
        .andExpect(status().isOk());
}

@WithMockUser
@Test
void endpointWhenNotUserAuthorityThenForbidden() {
    this.mvc.perform(get("/endpoint/jon"))
        .andExpect(status().isForbidden());
}

@Test
void anyWhenUnauthenticatedThenUnauthorized() {
    this.mvc.perform(get("/any"))
        .andExpect(status().isUnauthorized());
}

SpringSecurity 只匹配路径。如果要匹配查询参数，则需要一个自定义请求匹配器。

Matching Using Regular Expressions

SpringSecurity 支持将请求与正则表达式匹配。如果您想在子目录上应用比 * * 更严格的匹配条件，这可能很方便。

例如，考虑一个包含用户名的路径和所有用户名必须是字母数字的规则。您可以使用 RegexRequestMatcher 来遵守此规则，如下所示:

http
    .authorizeHttpRequests((authorize) -> authorize
        .requestMatchers(RegexRequestMatcher.regexMatcher("/resource/[A-Za-z0-9]+")).hasAuthority("USER")
        .anyRequest().denyAll()
    )

Matching By Http Method

还可以通过 HTTP 方法匹配规则。有一个地方很方便，那就是通过授予的权限进行授权，比如授予读或写权限。

为了要求所有 GET 都具有读权限，并且所有 POST 都具有写权限，您可以这样做:

Match by HTTP Method

http
    .authorizeHttpRequests((authorize) -> authorize
        .requestMatchers(HttpMethod.GET).hasAuthority("read")
        .requestMatchers(HttpMethod.POST).hasAuthority("write")
        .anyRequest().denyAll()
    )

这些授权规则的内容应该是: “如果请求是 GET，则需要读权限; 否则，如果请求是 POST，则需要写权限; 否则，拒绝请求”

默认情况下拒绝请求是一种健康的安全实践，因为它将规则集转换为允许列表。

一旦授权，您可以使用 Security 的测试支持以下方式对其进行测试:

Test Http Method Authorization

@WithMockUser(authorities="read")
@Test
void getWhenReadAuthorityThenAuthorized() {
    this.mvc.perform(get("/any"))
        .andExpect(status().isOk());
}

@WithMockUser
@Test
void getWhenNoReadAuthorityThenForbidden() {
    this.mvc.perform(get("/any"))
        .andExpect(status().isForbidden());
}

@WithMockUser(authorities="write")
@Test
void postWhenWriteAuthorityThenAuthorized() {
    this.mvc.perform(post("/any").with(csrf()))
        .andExpect(status().isOk());
}

@WithMockUser(authorities="read")
@Test
void postWhenNoWriteAuthorityThenForbidden() {
    this.mvc.perform(get("/any").with(csrf()))
        .andExpect(status().isForbidden());
}

Matching By Dispatcher Type

XML 当前不支持此特性

如前所述，SpringSecurity 默认授权所有调度程序类型。而且，即使在 REQUEST 分派上建立的安全上下文将传递给后续分派，微妙的不匹配有时也会导致意外的 AccessDeniedException。

为了解决这个问题，您可以配置 Spring Security Java 配置，以允许 FORWARD 和 ERROR 等调度程序类型，如下所示:

http
    .authorizeHttpRequests((authorize) -> authorize
        .dispatcherTypeMatchers(DispatcherType.FORWARD, DispatcherType.ERROR).permitAll()
        .requestMatchers("/endpoint").permitAll()
        .anyRequest().denyAll()
    )

Using an MvcRequestMatcher

一般来说，可以像上面演示的那样使用 requestMatcher (String)。

但是，如果将 SpringMVC 映射到不同的 servlet 路径，则需要在安全配置中考虑这一点。

例如，如果 Spring MVC 被映射到/Spring-MVC 而不是/(默认值) ，那么您可能有一个想要授权的端点，比如/Spring-MVC/my/controller。

您需要使用 MvcRequestMatcher 在配置中分割 servlet 路径和控制器路径，如下所示:

Example 2. Match by MvcRequestMatcher

@Bean
MvcRequestMatcher.Builder mvc(HandlerMappingIntrospector introspector) {
	return new MvcRequestMatcher.Builder(introspector).servletPath("/spring-mvc");
}

@Bean
SecurityFilterChain appEndpoints(HttpSecurity http, MvcRequestMatcher.Builder mvc) {
	http
        .authorizeHttpRequests((authorize) -> authorize
            .requestMatchers(mvc.pattern("/my/controller/**")).hasAuthority("controller")
            .anyRequest().authenticated()
        );

	return http.build();
}

这种需要至少可以通过两种不同的方式产生:

  • 如果使用 spring.mvc.servlet.path Boot 属性将默认路径(/)更改为其他内容
  • 如果您注册了多个 Spring MVC DispatcherServlet (因此要求其中一个不是默认路径)

Using a Custom Matcher

XML 当前不支持此特性

在 Java 配置中，您可以创建自己的 RequestMatcher 并将其提供给 DSL，如下所示:

Example 3. Authorize by Dispatcher Type

RequestMatcher printview = (request) -> request.getParameter("print") != null;
http
    .authorizeHttpRequests((authorize) -> authorize
        .requestMatchers(printview).hasAuthority("print")
        .anyRequest().authenticated()
    )

一旦授权，您可以使用 Security 的测试支持以下方式对其进行测试:

@WithMockUser(authorities="print")
@Test
void printWhenPrintAuthorityThenAuthorized() {
    this.mvc.perform(get("/any?print"))
        .andExpect(status().isOk());
}

@WithMockUser
@Test
void printWhenNoPrintAuthorityThenForbidden() {
    this.mvc.perform(get("/any?print"))
        .andExpect(status().isForbidden());
}

Authorizing Requests

一旦匹配了一个请求，您可以通过几种方式对其进行授权，如 permitAll、 denyAll 和 hasAuthority。

作为一个快速总结，以下是 DSL 中内置的授权规则:

  • PermitAll-请求不需要授权，是一个公共端点; 请注意，在这种情况下，永远不会从会话检索 Authentication
  • DenyAll-在任何情况下都不允许请求; 请注意，在这种情况下，永远不会从会话检索 Authentication
  • HasAuthority ——该请求要求 Authentication 具有与给定值匹配的 GrantedAuthority
  • HasRole-hasAuthority 的一个快捷方式，它将 ROLE _ 或其他配置为默认前缀的内容作为前缀
  • HasAnyAuthority ——该请求要求 Authentication 具有与任何给定值匹配的 GrantedAuthority
  • HasAnyrole-hasAnyAuthority 的一个快捷方式，它将 ROLE _ 或任何被配置为默认前缀的东西作为前缀
  • Access-请求使用此自定义 AuthorizationManager 来确定访问权限

现在已经了解了模式、规则以及如何将它们配对在一起，您应该能够理解在这个更复杂的示例中发生了什么:

import static jakarta.servlet.DispatcherType.*;

import static org.springframework.security.authorization.AuthorizationManagers.allOf;
import static org.springframework.security.authorization.AuthorityAuthorizationManager.hasAuthority;
import static org.springframework.security.authorization.AuthorityAuthorizationManager.hasRole;

@Bean
SecurityFilterChain web(HttpSecurity http) throws Exception {
	http
		// ...
		.authorizeHttpRequests(authorize -> authorize                                  (1)
            .dispatcherTypeMatchers(FORWARD, ERROR).permitAll() (2)
			.requestMatchers("/static/**", "/signup", "/about").permitAll()         (3)
			.requestMatchers("/admin/**").hasRole("ADMIN")                             (4)
			.requestMatchers("/db/**").access(allOf(hasAuthority("db"), hasRole("ADMIN")))   (5)
			.anyRequest().denyAll()                                                (6)
		);

	return http.build();
}
  1. 指定了多个授权规则。每个规则按其声明的顺序进行考虑。
  2. 分派 FORWARD 和 ERROR 允许 Spring MVC 呈现视图，Spring Boot 呈现错误
  3. 我们指定了任何用户都可以访问的多个 URL 模式。具体来说，如果 URL 以“/static/”、等于“/signup”或等于“/about”开头，则任何用户都可以访问请求。
  4. 任何以“/admin/”开头的 URL 将仅限于具有“ ROLE _ ADMIN”角色的用户。您会注意到，由于我们正在调用 hasRole 方法，因此不需要指定“ ROLE _”前缀。
  5. 任何以 “/db/” 开头的 URL 都需要用户同时拥有 “db” 权限以及 “ROLE_ADMIN” 角色。您会注意到，由于我们使用了 hasRole 表达式，因此不需要指定 “ROLE_” 前缀。
  6. 任何尚未匹配的 URL 都将被拒绝访问。如果您不想意外地忘记更新授权规则，那么这是一个很好的策略。

Expressing Authorization with SpEL

虽然建议使用具体的 AuthorizationManager，但是在某些情况下需要使用表达式，比如使用 < stop-url > 或 JSP Taglibs。出于这个原因，本节将重点介绍来自这些域的示例。

既然如此，让我们更深入地讨论一下 Spring Security 的 Web 安全授权 SpEL API。

Spring Security 将其所有的授权字段和方法封装在一个集合的根对象中。最通用的根对象称为 SecurityExpressionRoot，它是 WebSecurityExpressionRoot 的基础。当准备评估授权表达式时，Spring Security 将这个根对象提供给 StandardEvaluationContext。

Using Authorization Expression Fields and Methods

它提供的第一件事是增强了 SpEL 表达式的授权字段和方法集。以下是最常用方法的简要概述:

  • permitAll - 请求不需要任何授权即可调用；注意，在这种情况下，Authentication 从未从会话中检索

  • denyAll - 请求在任何情况下都不被允许；注意，在这种情况下，Authentication 从未从会话中检索

  • hasAuthority - 请求需要 Authentication 具有与给定值匹配的 GrantedAuthority

  • hasRole - hasAuthority 的快捷方式，默认前缀为 ROLE_ 或配置的默认前缀

  • hasAnyAuthority - 请求需要 Authentication 具有与给定值中的任何一个匹配的 GrantedAuthority

  • hasAnyRole - hasAnyAuthority 的快捷方式，默认前缀为 ROLE_ 或配置的默认前缀

  • HasPermission-一个连接到您的 Permisonevalator 实例的钩子，用于执行对象级授权

以下是一些最常见的领域:

  • authentication - 与本方法调用相关联的 Authentication 实例

  • principal - 与本方法调用相关联的 Authentication#getPrincipal

现在已经了解了模式、规则以及如何将它们配对在一起，您应该能够理解在这个更复杂的示例中发生了什么:

Authorize Requests Using SpEL

<http>
    <intercept-url pattern="/static/**" access="permitAll"/> （1）
    <intercept-url pattern="/admin/**" access="hasRole('ADMIN')"/>（2）
    <intercept-url pattern="/db/**" access="hasAuthority('db') and hasRole('ADMIN')"/>（3）
    <intercept-url pattern="/**" access="denyAll"/>（4）
</http>
  1. 我们指定了一个任何用户都可以访问的 URL 模式。具体来说，如果 URL 以“/static/”开头，任何用户都可以访问请求。
  2. 任何以“/admin/”开头的 URL 将仅限于具有“ ROLE _ ADMIN”角色的用户。您会注意到，由于我们正在调用 hasRole 方法，因此不需要指定“ ROLE _”前缀。
  3. 任何以 “/db/” 开头的 URL 都需要用户同时拥有 “db” 权限以及 “ROLE_ADMIN” 角色。您会注意到，由于我们使用了 hasRole 表达式，因此不需要指定 “ROLE_” 前缀。
  4. 任何尚未匹配的 URL 都将被拒绝访问。如果您不想意外地忘记更新授权规则，那么这是一个很好的策略。

Using Path Parameters

此外，Spring Security 提供了一种发现路径参数的机制，因此也可以在 SpEL 表达式中访问这些参数。

例如，您可以通过以下方式访问 SpEL 表达式中的路径参数:

Authorize Request using SpEL path variable

<http>
    <intercept-url pattern="/resource/{name}" access="#name == authentication.name"/>
    <intercept-url pattern="/**" access="authenticated"/>
</http>

这个表达式引用/resource/之后的 path 变量，并要求它等于 Authentication # getName。

Use an Authorization Database, Policy Agent, or Other Service

如果希望将 Spring Security 配置为使用单独的服务进行授权，可以创建自己的 AuthorizationManager 并将其与 anyRequest 匹配。

首先，您的 AuthorizationManager 可能看起来像这样:

Open Policy Agent Authorization Manager

@Component
public final class OpenPolicyAgentAuthorizationManager implements AuthorizationManager<RequestAuthorizationContext> {
    @Override
    public AuthorizationDecision check(Supplier<Authentication> authentication, RequestAuthorizationContext context) {
        // make request to Open Policy Agent
    }
}

然后，您可以通过以下方式将其连接到 Spring Security:

Any Request Goes to Remote Service

@Bean
SecurityFilterChain web(HttpSecurity http, AuthorizationManager<RequestAuthorizationContext> authz) throws Exception {
	http
		// ...
		.authorizeHttpRequests((authorize) -> authorize
            .anyRequest().access(authz)
		);

	return http.build();
}

Favor permitAll over ignoring

当您拥有静态资源时，很容易将筛选器链配置为忽略这些值。一个更安全的方法是允许他们使用 permitAll like so:

Example 4. Permit Static Resources

http
    .authorizeHttpRequests((authorize) -> authorize
        .requestMatchers("/css/**").permitAll()
        .anyRequest().authenticated()
    )

它更加安全，因为即使使用静态资源，编写安全头文件也很重要，如果忽略请求，Spring Security 就无法做到这一点。

在过去，这带来了性能折衷，因为 Spring Security 在每次请求时都会咨询会话。但是，从 SpringSecurity6开始，除非授权规则要求，否则不再 ping 会话。由于现在已经解决了性能影响问题，SpringSecurity 建议对所有请求至少使用 permitAll。

Migrating from authorizeRequests

AuthorizationFilter 为 HttpServletRequest 提供授权。它作为安全筛选器之一插入到 FilterChainProxy 中。

您可以在声明 SecurityFilterChain 时覆盖默认值:

@Bean
SecurityFilterChain web(HttpSecurity http) throws AuthenticationException {
    http
        .authorizeHttpRequests((authorize) -> authorize
            .anyRequest().authenticated();
        )
        // ...

    return http.build();
}

这在若干方面改进了 AuthorizeRequest:

  • 使用简化的 AuthorizationManager API 而不是元数据源、配置属性、决策管理器和投票者metadata sources, config attributes, decision managers, and voters.。这简化了重用和自定义。
  • 延迟 Authentication 查找。而不是为每个请求都查找 Authentication，只有在需要授权决策时才会查找。
  • 支持基于 Bean 的配置。

如果使用 AuthorizeHttpRequest 代替 AuthorizeRequest，则使用 AuthorizationFilter 代替 FilterSecurityInterceptor。

Migrating Expressions

在可能的情况下，建议使用类型安全授权管理器而不是 SpEL。对于 Java 配置，WebExpressionAuthorizationManager 可用于帮助迁移遗留的 SpEL。

要使用 WebExpressionAuthorizationManager，您可以使用试图迁移的表达式构造一个表达式，如下所示:

.requestMatchers("/test/**").access(new WebExpressionAuthorizationManager("hasRole('ADMIN') && hasRole('USER')"))

如果您在表达式中引用一个 bean，例如：@webSecurity.check(authentication, request)，建议您直接调用 bean，它看起来会像这样：

.requestMatchers("/test/**").access((authentication, context) ->
    new AuthorizationDecision(webSecurity.check(authentication.get(), context.getRequest())))

对于包含 bean 引用和其他表达式的复杂指令，建议更改这些指令以实现 AuthorizationManager，并通过调用.access(AuthorizationManager).

如果不能这样做，可以使用 bean 解析器配置 DefaultHttpSecurityExpressionHandler，并将其提供给 WebExpressionAuthorizationManager # setExpressionHandler。

Security Matchers

RequestMatcher 接口用于确定请求是否与给定的规则匹配。我们使用 securityMatchers 来确定给定的 HttpSecurity 是否应该应用于给定的请求。同样，我们可以使用 requestMatchers 来确定应该应用于给定请求的授权规则。请看以下示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			.securityMatcher("/api/**")
			.authorizeHttpRequests(authorize -> authorize
				.requestMatchers("/user/**").hasRole("USER")
				.requestMatchers("/admin/**").hasRole("ADMIN")
				.anyRequest().authenticated()
			)
			.formLogin(withDefaults());
		return http.build();
	}
}
  1. 将 HttpSecurity 配置为仅应用于以/api/开头的 URL
  2. 允许具有 USER 角色的用户访问以 /user/ 开头的 URL
  3. 允许具有 ADMIN 角色的用户访问以/admin/开头的 URL
  4. 任何其他与上述规则不匹配的请求都将需要身份验证

SecurityMatcher (s)和 requestMatcher (s)方法将决定哪个 RequestMatcher 实现最适合您的应用程序: 如果 Spring MVC 在类路径中，那么将使用 MvcRequestMatcher，否则将使用 AntPathRequestMatcher。您可以在这里了解更多关于 Spring MVC 集成的信息。

如果您想使用一个特定的 RequestMatcher，只需将一个实现传递给 securityMatcher 和/或 requestMatcher 方法:

import static org.springframework.security.web.util.matcher.AntPathRequestMatcher.antMatcher; (1)
import static org.springframework.security.web.util.matcher.RegexRequestMatcher.regexMatcher;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			.securityMatcher(antMatcher("/api/**"))                              (2)
			.authorizeHttpRequests(authorize -> authorize
				.requestMatchers(antMatcher("/user/**")).hasRole("USER")         (3)
				.requestMatchers(regexMatcher("/admin/.*")).hasRole("ADMIN")     (4)
				.requestMatchers(new MyCustomRequestMatcher()).hasRole("SUPERVISOR")     (5)
				.anyRequest().authenticated()
			)
			.formLogin(withDefaults());
		return http.build();
	}
}

public class MyCustomRequestMatcher implements RequestMatcher {

    @Override
    public boolean matches(HttpServletRequest request) {
        // ...
    }
}
  1. 从 AntPathRequestMatcher 和 RegexRequestMatcher 导入静态工厂方法以创建 RequestMatcher 实例。
  2. 使用 AntPathRequestMatcher 将 HttpSecurity 配置为仅应用于以/api/开头的 URL
  3. 允许使用 AntPathRequestMatcher 访问以/USER/开头的 URL 到具有 USER 角色的用户
  4. 允许使用 RegexRequestMatcher 对具有 ADMIN 角色的用户访问以/ADMIN/开头的 URL
  5. 允许使用自定义 RequestMatcher 访问与具有 SUPERVISOR 角色的用户匹配的 MyCustomRequestMatcher 的 URL

Further Reading

既然已经保护了应用程序的请求，那么就考虑保护它的方法。您还可以进一步阅读关于测试应用程序或将 Spring Security 与应用程序的其他方面(如数据层或跟踪和度量)集成的内容。

嗨！陌生人
关注
  • 30
    点赞
  • 踩
  • 27
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
从 authorizeRequests 迁移到 authorizeHttpRequests：升级Spring Security授权配置
专注于深入研究多种编程语言，以实战为导向，逐步拓展开发技能，提升工程化编码和思维能力，展现无敌技术实力。
10-17 699
在Spring Security中，授权配置是确保应用程序安全性的关键部分。随着Spring Security的演进，新的 authorizeHttpRequests 提供更灵活的授权规则。本文指导迁移从传统的 authorizeRequests 到 authorizeHttpRequests，以满足较新版本Spring Security和复杂的授权需求。探讨迁移、表达式语言、最佳实践，确保应用程序安全可维护。
SpringSecurity如何实现配置单个HttpSecurity
08-18
http.authorizeRequests() .antMatchers("/admin/").hasRole("admin") .antMatchers("/db/").hasAnyRole("admin","user") .antMatchers("/user/").access("hasAnyRole('admin','user')") // 剩下的其他路径请求...
SpringSecurity: 不能混用authorizeRequests和6.0里的authorizeHttpReuests
amadeus_liu2的博客
03-04 692
security
http.authorizeRequests()详解
lyy的博客
04-05 3134
表示可以匿名访问匹配的URL。访问控制方法都很简单， 只要匹配到url后直接在后面追加调用这个方法就行了，链式调用特别简单，不演示了。如果有参数，参数表示IP地址，如果用户IP和参数匹配，则可以访问。下面分别讲一下url匹配规则都有哪些，权限控制方法都有哪些。如果有参数，参数表示角色，则其中任何一个角色可以访问。如果有参数，参数表示权限，则其中任何一个权限可以访问。如果有参数，参数表示角色，则其角色可以访问。如果有参数，参数表示权限，则其权限可以访问。表示所匹配的URL都不允许被访问。
Spring Security之基于HttpRequest配置权限
最新发布
Evan_L的博客
03-24 1958
前面我们探索了基于方法的权限配置方式，今天我们聊聊最为常用的基于HttpRequest的权限配置方式。
Spring Security6 全新写法，大变样！
江南一点雨的专栏
06-14 5147
自定义 JSON 登录也和之前旧版不太一样了。小伙伴们知道，Spring Security 中默认的登录接口数据格式是 key-value 的形式，如果我们想使用 JSON 格式来登录，那么就必须自定义过滤器或者自定义登录接口，下面松哥先来和小伙伴们展示一下这两种不同的登录形式。Spring Security 默认处理登录数据的过滤器是 UsernamePasswordAuthenticationFilter，在这个过滤器中，系统会通过。
SpringSecurity权限管理框架系列(六)-Spring Security框架自定义配置类详解(二)之authorizeRequests配置详解
最爱嫣夜来
03-24 9622
1、预置演示环境 这个演示环境继续沿用 SpringSecurit权限管理框架系列(五)-Spring Security框架自定义配置类详解(一)之formLogin配置详解的环境。 2、自定义配置类之请求授权详解
Spring Security 接口认证鉴权入门实践指南
互联网从业者/大数据架构师/全栈开发者
01-11 3097
Web API 接口服务场景里，用户的认证和鉴权是很常见的需求，Spring Security 据说是这个领域里事实上的标准，实践下来整体设计上确实有不少可圈可点之处，也在一定程度上印证了小伙们经常提到的 “太复杂了” 的说法也是很有道理的。 本文以一个简单的 SpringBoot Web 应用为例，重点介绍以下内容： 演示 Spring Security 接口认证和鉴权的配置方法； 以内存和数据库为例，介绍认证和鉴权数据的存储和读取机制； 若干模块的自定义实现，包括：认证过滤器、认证或鉴权失败处理器等
详解spring security之httpSecurity使用示例
08-27
详解 Spring Security 之 HttpSecurity 使用示例 Spring Security 是一个功能强大且广泛使用的 Java 安全框架，旨在提供身份验证、授权和其他安全功能。HttpSecurity 是 Spring Security 中的一个重要组件，负责...
详解Spring Security中的HttpBasic登录验证模式
08-25
.authorizeRequests() .anyRequest() .authenticated(); // 所有请求都需要登录认证才能访问 } } ``` **三、HttpBasic登录认证的实现** 当使用HttpBasic模式时，Spring Security会在启动时生成一个默认的...
Spring Security开发文档.docx
03-04
http.authorizeRequests() .antMatchers("/admin/**").hasRole("ADMIN") .anyRequest().authenticated() .and() .formLogin() .loginPage("/login") .permitAll() .and() .logout() .permitAll(); } } ``...
spring security oauth2.0 （讲义+代码）
03-10
Spring Security OAuth2.0 是一个强大的安全框架，用于构建安全的Web应用和API。OAuth2.0 是一种授权框架，允许第三方应用在用户许可的情况下访问其受保护的资源，而无需共享用户凭证。本讲义结合代码将深入探讨如何...
spring security——学习笔记（day02）-基于默认的表单认证实现自定义登录页面
键上艺术家
12-18 1239
目录 3.表单认证 接下来学习基于表单认证的适用方式，由简单逐步深入学习，开始吧！ 3.表单认证 默认的表单认证已经学了请看 2.3.3 ，现在产生了一些使用疑问， 1.不想使用security自带的登录页面，怎么自定义登陆页面？ 2.想使用数据库操作用户的增删改查怎么办？ 下面一一对应学习。 首先先解释一下 WebSecurityConfigurerAdapter 类中重写了三个 configure 方法：可跳过。 1.认证管理器配置方法 ：void configure(Aut..
Spring Security --- authorizeRequests配置
汤键的博客
04-13 2898
Spring Security --- authorizeRequests配置
SpringSecurity系列——授权Http请求day4-2（源于官网5.7.2版本）
qq_51553982的博客
07-22 1458
源于官方最新5.7.2文档，若你觉得官方文档阅读起来很枯燥，内容复杂，我提供了解析概括在每个部分的结尾，我对官方文档的内容做了一些改变，实例代码我会在后续进行更新，请查看如SpringSecurity系列——认证架构实例代码的文章但是如果你有能力，还是推荐直接阅读官方文档。...
SpringBoot3 - Spring Security 6.0 Migration
java scala
03-27 5499
最近在做SpringBoot2.x到3.0的升级。其中最主要的一部分是packageName的变更，另外一部分是对一些废弃/删除的类进行替换。大部分升级都比较顺利，但是在SpringSecurity上遇到了不少坑。先看一下下面的代码这段代码在6.0有两个问题，一是标记为废弃，二是方法被移除，这两个问题我们一个个看。
SpringSecurity——HttpSecurity常用方法
允诺@晴天的博客
01-28 1万+
文章目录HttpSecurity 常用方法及说明HttpSecurity常用方法详解antMatcher与antMatchers的区别以及使用场景requestMatchers()authorizeRequests()匹配规则URL匹配保护URL登录login登出logout多个antMatchers在Spring HttpSecurity 常用方法及说明 通常我们在使用Spring Securty的时候会继 WebSecurityConfigurerAdapter，通过以下方法可配置拦截什么URL、设置
请求授权(Authorize Requests)
热门推荐
苏美尔人的天空
08-23 3万+
我们的案例目前使用的是WebSecurityConfigurerAdapter中默认的HttpSecurity对象的配置，该配置是要求应用中所有url的访问都需要进行验证。我们也可以自定义哪些URL需要权限验证，哪些不需要。只需要在我们的SecurityConfig类中覆写configure(HttpSecurity http)方法即可。 protected void configure(H
HttpSecurity。authorizeRequests
07-07
HttpSecurity.authorizeRequests() 是 Spring Security 中的一个方法，用于配置请求的权限控制规则。它允许我们定义哪些请求需要经过认证和授权。 在 Spring Security 中，我们可以使用该方法来配置不同请求路径的访问权限。例如，我们可以设置某些路径需要身份验证，而其他路径可以被任何人访问。 示例代码如下： ```java @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/public").permitAll() // 允许任何人访问 /public 路径 .antMatchers("/admin").hasRole("ADMIN") // 需要 ADMIN 角色才能访问 /admin 路径 .anyRequest().authenticated() // 其他请求需要身份验证 .and() .formLogin() .and() .httpBasic(); } ``` 以上代码中，`.authorizeRequests()` 方法用于开始定义请求的权限控制规则。`.antMatchers()` 方法用于匹配指定的路径，并设置相应的权限要求。`.permitAll()` 表示允许所有人访问，`.hasRole()` 表示需要特定的角色才能访问。`.anyRequest().authenticated()` 表示其他请求需要进行身份验证。 请注意，具体的配置可能会根据实际应用的需求而有所不同。这只是一个简单的示例，您可以根据您的应用程序需求进行相应的配置。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值