使用Vaadin实现Spring Security性的Java配置

Question

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter
{

    [...]

    @Override
    protected void configure(HttpSecurity http) throws Exception
    {
        http
            .authorizeRequests()
                .antMatchers("/login**").permitAll()
                .antMatchers("/UIDL/**").permitAll()
                .antMatchers("/HEARTBEAT/**").authenticated()
                .antMatchers("/VAADIN/**").permitAll()
                .antMatchers("/resources/**").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin().loginPage("/login").permitAll()
                .and()
            .logout().permitAll()
                .and()
            .csrf().disable();
    }
}

@Controller
public class LoginController
{
    @RequestMapping("/login")
    String login(Model model)
    {
        return "login";
    }
}

如果我想在用户未登录的情况下阻止应用程序的每个请求，我应该定义哪个.antMatchers（）？我知道我必须为登录页面定义antMatchers（“/resources/**”）.permitall（）以获取css和图像。但是像“/uidl/**”这样的模式是什么呢？我需要它们做什么呢？

Answer 1

如果我想在用户未登录的情况下阻止应用程序的每个请求，我应该定义哪个.antMatchers（）？

如果您只想在用户未登录时阻止每个请求：

@Override
protected void configure(HttpSecurity http) throws Exception
{
    http
        .authorizeRequests()
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login").permitAll()
            .and()
        .logout().permitAll()
            .and()
        .csrf().disable();
}

您实际上并不需要任何antmatcher，甚至对于登录页面也不需要，就像在.formlogin()部分中一样，您已经为该页面包含了.PermitAll()。

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring()
        .antMatchers("/resources/**", "/VAADIN/**");
}

在Spring引导项目中，如果不允许请求在web.igneration().antmatchers(...)中“/VAADINServlet/**”时，我还发现了一些问题。

像“/uidl/**”这样的模式是什么？我需要它们做什么？

当服务器接收到请求时，Spring Security使用这些模式来确定它应该允许还是拒绝对请求的访问。

它们表示应用程序上下文根之后的URI部分，例如，在上下文根为/的情况下，则像http://server.com/uidl/hello这样的请求Spring Security将用于确定是否给予acces的URI部分将是/uidl/hello

**表示包含任何子级别的任何内容，例如，对于/UIDL/**模式，请求/UIDL/Hello/World/和/any/more/levels将匹配。

还有一个*表示任何东西，但不包括子级别，例如对于/UIDL/*模式，请求/UIDL/Hello将匹配，但不匹配/UIDL/Hello/World。

至于VAADIN视图和UI，我不确定是否可以使用antmatchers来授予或拒绝访问，但您可以使用@EnableGlobalMethodSecurity（prePost=enabled)来注释配置类，然后可以在视图上使用@preauthorize(/*spel expression*/)注释来授予或拒绝访问。

更新：对评论问题的答复：

1. 为什么使用configure（WebSecurity web）方法忽略资源，而不使用configure（HttpSecurity http）方法允许访问？是否有显著差异？

不同的是，websecurity#ligene()使请求从Spring安全筛选器链中跳过，这是静态资源的推荐方法，除静态资源之外的任何其他内容都应在configure(httpsecurityhttp)中处理。

因为该路径用于为主题、小部件集和自定义提供服务（这是静态内容），所以该路径用于从Vaadin jar中直接提供服务，但正如Vaadin文档中所建议的那样，在生产环境中应该以静态方式提供服务，因为这样更快。

来源

UIDL：

来源

会定期执行心跳请求，以验证服务器和客户端之间的连接是否仍然有效，或者会话是否未过期。

资料来源-见第4.8.5、4.8.6、4.8.7和4.8.8节