SpringSecurity如何实现配置单个HttpSecurity

要实现配置单个HttpSecurity，可以通过在配置类中创建多个protected的方法，并使用@Order注解来指定它们的顺序来实现。每个protected方法都会配置一个单独的HttpSecurity对象。下面是实现的步骤：

创建一个配置类，并添加@EnableWebSecurity注解。
在配置类中创建多个被@Order注解标记的protected方法，每个方法都返回一个HttpSecurity对象，例如：configure(HttpSecurity http)，configureSecond(HttpSecurity http)。
在头部添加@Configuration注解并将这些方法都声明为@Bean注解。
配置每个HttpSecurity对象。这可能涉及到添加认证、授权规则、登录页、注销等配置。

下面是一个Spring Security配置类示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Configuration
    @Order(1)
    public static class WebSecurityConfigurerOne extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/api/**")
                .authorizeRequests()
                .antMatchers("/api/**").hasRole("ADMIN")
                .and()
                .httpBasic();
        }
    }

    @Configuration
    @Order(2)
    public static class WebSecurityConfigurerTwo extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .loginPage("/login")
                .defaultSuccessUrl("/home")
                .permitAll()
                .and()
                .logout().permitAll();
        }

        @Autowired
        public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
            auth.inMemoryAuthentication()
                .withUser("user").password("password").roles("USER")
                .and()
                .withUser("admin").password("password").roles("USER", "ADMIN");
        }
    }
}

在这个例子中，我们创建了两个WebSecurityConfigurer类，定义了两个不同的HttpSecurity对象。具体的过程如下：

步骤1： 加上@EnableWebSecurity注解，使应用启用Spring Security功能。

@EnableWebSecurity
@Configuration
public class SecurityConfig {
    // ...
}

步骤2： 创建一个WebSecurityConfigurer类，一个类代表一个单独的HttpSecurity。

@Configuration
@Order(1)
public static class WebSecurityConfigurerOne extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.antMatcher("/api/**")
            .authorizeRequests()
            .antMatchers("/api/**").hasRole("ADMIN")
            .and()
            .httpBasic();
    }
}

@Configuration
@Order(2)
public static class WebSecurityConfigurerTwo extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/", "/home").permitAll()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .defaultSuccessUrl("/home")
            .permitAll()
            .and()
            .logout().permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user").password("password").roles("USER")
            .and()
            .withUser("admin").password("password").roles("USER", "ADMIN");
    }
}

步骤3： 添加@Configuration和@Bean注解。

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Configuration
    @Order(1)
    public static class WebSecurityConfigurerOne extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/api/**")
                .authorizeRequests()
                .antMatchers("/api/**").hasRole("ADMIN")
                .and()
                .httpBasic();
        }
    }

    @Configuration
    @Order(2)
    public static class WebSecurityConfigurerTwo extends WebSecurityConfigurerAdapter {
        //...
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public AuthenticationManager customAuthenticationManager() throws Exception {
        return authenticationManager();
    }
}

下面是第二个示例，它展示了如何配置多个WebSecurityConfigurer方法来保护不同的url模式。

@Configuration
@EnableWebSecurity
public class MultipleEntryPointsSecurityConfig {

    private static final String USER_ROLE = "USER";
    private static final String ADMIN_ROLE = "ADMIN";

    public MultipleEntryPointsSecurityConfig() {
        super();
    }

    // configure the default security instance which will handle any request not mapped by the other instances
    @Configuration
    public static class DefaultSecurityConfig extends WebSecurityConfigurerAdapter {

        @Autowired
        private CustomAuthenticationProvider authProvider;

        public DefaultSecurityConfig() {
            super();
        }

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.authenticationProvider(authProvider);
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .anyRequest().authenticated()
                .and().exceptionHandling().accessDeniedPage("/login?error=true");

            http.formLogin()
                .loginPage("/login")
                .failureUrl("/login?error=true")
                .defaultSuccessUrl("/secure/home")
                .and().logout().logoutSuccessUrl("/login?logout=true");
        }

        @Bean(name="authenticationManager")
        @Override
        public AuthenticationManager authenticationManagerBean() throws Exception {
            return super.authenticationManagerBean();
        }

    }

    // configure the security instance accessible through the /secure/** URLs
    @Configuration
    @Order(1)
    public static class SecureEntryPoint extends WebSecurityConfigurerAdapter {

        @Autowired
        private CustomAuthenticationProvider authProvider;

        public SecureEntryPoint() {
            super();
        }

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.authenticationProvider(authProvider);
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/secure/**")
                .authorizeRequests()
                .antMatchers("/secure/trade/**").hasAnyRole(USER_ROLE, ADMIN_ROLE)
                .antMatchers("/secure/admin/**").hasRole(ADMIN_ROLE)
                .and().exceptionHandling().accessDeniedPage("/login?error=true");

            http.formLogin()
                .loginPage("/login")
                .failureUrl("/login?error=true")
                .defaultSuccessUrl("/secure/home")
                .and().logout().logoutSuccessUrl("/login?logout=true");
        }

    }

    // configure the security instance accessible through the /internal/** URLs
    @Configuration
    @Order(2)
    public static class InternalEntryPoint extends WebSecurityConfigurerAdapter {

        @Autowired
        private CustomAuthenticationProvider authProvider;     

        public InternalEntryPoint() {
            super();
        }

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.authenticationProvider(authProvider);
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/internal/**")
                .authorizeRequests()
                .antMatchers("/internal/**").hasRole(ADMIN_ROLE)
                .and().exceptionHandling().accessDeniedPage("/login?error=true");

            http.formLogin()
                .loginPage("/login")
                .failureUrl("/login?error=true")
                .defaultSuccessUrl("/internal/home")
                .and().logout().logoutSuccessUrl("/login?logout=true");
        }

    }
}

这个示例中有3个WebSecurityConfigurer类，DefaultSecurityConfig，SecureEntryPoint和InternalEntryPoint，它们被@Order注解标记，用来控制它们的优先级。

DefaultSecurityConfig 方法配置了默认的安全实例，处理那些没有被其他实例配置的请求。 Login页设置为 /login，如果登录失败，会重定向到 /login?error=true，如果登录成功，会重定向到 /secure/home，访问被拒绝时，会返回 /login?error=true。
SecureEntryPoint 此方法配置的安全实例可以通过 /secure/ 访问。它提供了对 /secure/trade/ 和 /secure/admin/** 的保护，并指定了不同的角色要求。 Login页设置为 /login，如果登录失败，会重定向到 /login?error=true，如果成功，则会重定向到 /secure/home。如果访问被拒绝，则会返回 /login?error=true。
InternalEntryPoint 此方法配置的安全实例可以通过 /internal/ 访问。它提供了对 /internal/** 的保护，并要求管理员角色。 Login页设置为 /login，如果登录失败，则重定向到/login?error=true，如果成功，则重定向到 /internal/home。访问被拒绝时，返回 /login?error=true。

通过这个示例，我们可以看到SpringSecurity如何通过配置多个WebSecurityConfigurer类来保护不同的url模式。

本站文章如无特殊说明，均为本站原创，如若转载，请注明出处：SpringSecurity如何实现配置单个HttpSecurity - Python技术站