非管理员用户访问特权资源时如何解决 Spring Security 角色身份验证问题？

修复 Spring Security 中的角色身份验证

使用 Spring Security 时，基于角色的访问控制对于保护资源至关重要。在最近的项目中，您遇到了非管理员用户可以访问特权资源的问题。我们将检查问题的根本原因并提供解决方案来纠正它。

您配置的 AuthenticationManagerBuilder 利用基于 JDBC 的身份验证机制，利用数据源进行用户身份验证和权限检索。该问题源于用户身份验证查询：

"select username, password, 1 from users where username=?"

在此查询中，“1”无关紧要，而忽略了用户识别的主键。因此，所有用户都被错误地分配了相同的角色，从而使非管理员用户能够绕过访问限制。

要纠正此问题，身份验证查询应显式获取与用户关联的角色信息：

select username, password, role 
from users where username=?

此外，为了优先考虑基于角色的访问控制，您的 HTTP 安全配置应修改为如下：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf().disable()      
        .httpBasic()
            .and()
        .authorizeRequests()
            .antMatchers("/users/all").hasRole("admin")
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .and()
        .exceptionHandling().accessDeniedPage("/403");
}

在此配置中，anyRequest() 匹配器首先检查身份验证，然后是“/users/all”的特定于角色的匹配器。这可确保非管理员用户被拒绝访问特权资源，从而解决您最初的问题。

通过实施这些修改，Spring Security 基于角色的访问控制将正常运行，防止对受保护资源进行未经授权的访问。

以上是非管理员用户访问特权资源时如何解决 Spring Security 角色身份验证问题？的详细内容。更多信息请关注PHP中文网其他相关文章！