hasRole（）和denyAll（）方法不限制对资源的访问

Question

我正在开发Spring Boot和Spring Security Web应用程序，授权和资源服务器启用。我已经定义了一组用户，为他们分配了角色，并试图实现对REST终结点的基于角色的访问。我能够实现对endpoint的基于令牌的访问，但不能限制对最终用户的访问，这将基于他们的角色。

我已经完成了两个endpoint：/rest/products/list和/rest/products/add，并试图通过管理员角色的用户限制对/rest/products/addendpoint的访问。

我的websecurityConfigureAdapter如下所示：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    protected void configure(final AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .passwordEncoder(passwordEncoder)
                .withUser("user1")
                    .password(passwordEncoder.encode("user1Pass"))
                    .roles("USER")
                    .and()
                .withUser("user2")
                    .password(passwordEncoder.encode("user2Pass"))
                    .roles("USER")
                    .and()
                .withUser("admin")
                    .password(passwordEncoder.encode("adminPass"))
                    .roles("ADMIN");
    }

    @Override
    protected void configure(final HttpSecurity http) throws Exception {

        http
            .authorizeRequests()
                .antMatchers("/rest/products/add").hasAnyRole("ADMIN")
                .antMatchers("/rest/products/list").denyAll();
    }

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
}

因此，资源/rest/products/add应仅在管理员/adminPass用户具有admin角色时才可供该用户访问。但是，如果尝试使用user1/user1Pass访问它，它仍然是可访问的：

获取用户1邮递员屏幕的访问令牌

使用user1Postman屏幕访问ADMIN仅相关endpoint

此外，我在配置方法中添加了（出于测试目的）以下规则. antMatcher（"/Products/list"）. denyAll（）；这里表示任何用户都不应该访问/Products/list。但它仍然保持响应（提供正确的访问令牌）。

在这里的类似问题中，如何修复Spring Security中的角色？匹配者的顺序应该从更具体到更少。但在我的例子中，有两个匹配器，没有匹配器可以重叠它们。

我将Spring Boot与Spring Boot starter安全性插件版本2.5.2一起使用。

要使，还需要进行哪些配置。拥有角色（“管理员”）和。denyAll（）是否按预期工作？




Answer 1

最终，我们能够通过以下方式找到解决方案：

这里有一个ResourceServerConfigurerAdapter类的示例。从这一点和您的评论中，dur，我意识到我混淆了ResourceServerConfigurerAdapter和WebSecurityConfigureAdapter，试图在WebSecurityConfigureAdapter中定义访问限制匹配器。我以以下方式更改了资源服务器配置：

方法是在WebSecurityConfigrerAdapter

 @Override
    public void configure(final HttpSecurity http) throws Exception {

        http.authorizeRequests()
                .antMatchers("/rest/products/add").hasAnyRole("ADMIN")
                .antMatchers("/rest/products/list").denyAll();
    }

被移动到

@Configuration
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(final HttpSecurity http) throws Exception {

        http.authorizeRequests()
                .antMatchers("/rest/products/add").hasAnyRole("ADMIN")
                .antMatchers("/rest/products/list").denyAll();
    }

}

现在，上面匹配器定义的限制正按预期工作。