Bagaimana untuk Mengkonfigurasi Berbilang Konfigurasi Keselamatan HTTP dalam Keselamatan Spring untuk Bahagian Aplikasi Berbeza?

Berbilang Konfigurasi Keselamatan HTTP dalam Keselamatan Musim Bunga

Dalam Keselamatan Musim Bunga, anda mungkin menghadapi situasi di mana anda memerlukan halaman log masuk dan konfigurasi keselamatan yang berbeza untuk bahagian permohonan anda. Untuk mencapai matlamat ini, anda boleh memanfaatkan pendekatan MultipleHttpSecurityConfig.

Dalam contoh khusus anda, anda telah mengkonfigurasikan dua kelas bersarang, ProviderSecurity dan ConsumerSecurity, dalam kelas induk beranotasi dengan @EnableWebSecurity. Walaupun konfigurasi keselamatan untuk /admin/** berfungsi seperti yang diharapkan, anda telah memerhatikan bahawa halaman yang dihadkan oleh "/consumer/**" tidak dilindungi seperti yang dimaksudkan.

Analisis

Isu anda timbul daripada fakta bahawa kedua-dua konfigurasi anda membenarkan semua permintaan secara lalai. Ini membenarkan akses kepada semua halaman, tanpa mengira sekatan keselamatan yang ditetapkan. Untuk membetulkan perkara ini, anda perlu mengehadkan akses kepada URL tertentu atau corak permintaan secara eksplisit.

Penyelesaian

Untuk menyelesaikannya, laksanakan langkah berikut:

1. Gunakan kaedah antMatcher dalam konfigurasi ProviderSecurity anda untuk menentukan corak URL yang ia terpakai kepada:

   @Configuration
   @Order(1)
   public static class ProviderSecurity extends WebSecurityConfigurerAdapter{
       @Override
       protected void configure(HttpSecurity http) throws Exception {
           http
               .authorizeRequests()
                   .antMatchers("/", "/home").permitAll()
                   .antMatchers("/admin/login").permitAll()
                   .anyRequest().hasRole("BASE_USER")  // Restrict all other URLs
                   .and()
               ...
   }

2. Begitu juga, dalam konfigurasi ConsumerSecurity anda, nyatakan corak URL yang sepatutnya dilindungi:

   @Configuration
   @Order(2)
   public static class ConsumerSecurity extends WebSecurityConfigurerAdapter {
       @Override
       protected void configure(HttpSecurity http) throws Exception {
           http
               .authorizeRequests()
                   .antMatchers("/consumer/login").permitAll()
                   .anyRequest().hasRole("BASE_USER")  // Restrict all other URLs
                   .and()
               ...
   }

Dengan mengehadkan akses kepada corak URL tertentu, anda boleh menguatkuasakan keselamatan yang dimaksudkan untuk aplikasi anda.

Atas ialah kandungan terperinci Bagaimana untuk Mengkonfigurasi Berbilang Konfigurasi Keselamatan HTTP dalam Keselamatan Spring untuk Bahagian Aplikasi Berbeza?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!