Spring Security：如果未指定@PreAuthorize，如何默认拒绝请求

Question

我有一个简单的Spring Boot应用程序，它公开了一个RESTAPI。我已经使用@PreAuthorize（“hasRole（'ROLE_4'））注释成功地配置了Spring Security性，以根据restapi中的角色保护每个方法。

我注意到，如果我根本不把@PreAuthorize注释，框架允许任何经过身份验证的用户进行此请求。我想扭转这种行为。因此，如果其中一个程序员忘记添加@PreAuthorize注释，对该方法的任何请求都将被自动拒绝。

以下是我的配置：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Override
protected void configure(HttpSecurity http) throws Exception {

    //Disable HTTP Basic authentication
    http.httpBasic().disable();

    //Add the filters
    http.addFilterBefore(new AuthenticationFilter(authenticationManager()), BasicAuthenticationFilter.class);
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(securityServiceAuthenticationProvider());
}


@Bean
public AuthenticationProvider securityServiceAuthenticationProvider() {
    return new SecurityServiceAuthenticationProvider();
}

}

谢谢Guy Hudara

Answer 1

您可以指定一个自定义AccessDecisionManager，如果查询的对象是方法调用，则检查它是否有@PreAuthorize注释；如果是，就让它过去。否则，失败。您可以像这样将其添加到配置：http。授权请求（）。accessDecisionManager（myManager）。

Answer 2

您可以使用MethodSecurityInterceptor；这里是XML配置示例。该示例将安全性应用于单个bean，但表达式非常灵活，您可以保护任何名称以“Controller”结尾的类的所有公共成员。我以前使用过类似的XML配置，但我没有使用Java配置；但是我想您可以在Java配置中做同样的事情。