OpenAPI3通过Spring Boot显示基于基本身份验证的方法

Question

我将此依赖项添加到我的Spring Boot应用程序中

 <dependency>
      <groupId>org.springdoc</groupId>
      <artifactId>springdoc-openapi-ui</artifactId>
      <version>1.4.3</version>
      <type>pom.sha512</type>
     </dependency>

然后我可以打开：https://localhost:8443/v3/api-文件

浏览器确实会询问我的凭据，只要我输入用户/密码，它就可以工作，但它会向我显示全球可用的所有方法。我只希望用户有权使用的方法出现在api文档中。

对于特定的方法是使用此标记来授权我的调用：@PreAuthorize（"hasRole（'USER'）OR hasRole（'ADMIN')")

这是我的web安全配置类：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter
{

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception
    {
        auth.inMemoryAuthentication()
                .passwordEncoder(new BCryptPasswordEncoder())
                .withUser("user").password(new BCryptPasswordEncoder().encode("blabl")).roles("USER")
                .and()
                .withUser("admin").password(new BCryptPasswordEncoder().encode("blabla")).roles("ADMIN");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception
    {
        http.authorizeRequests()
                .antMatchers("/").permitAll()
                .anyRequest().authenticated()
                .and()
                .httpBasic();
    }
}

Answer 1

我怀疑这是否可能，因为API留档是在启动时生成的（我认为）。

您可以做的是添加文档，指定哪些API调用需要哪些安全凭据，我在https://github.com/springdoc/springdoc-openapi#adding-api信息和安全文档

因此，如果用户能够看到API页面，那么它也可能会看到它无权访问的endpoint（例如/admin），但您可以向其中添加文档，使该endpoint只能由管理员访问。

Answer 2

根据你提供的描述，我建议如下。

1. 在endpoint上添加特定于角色的安全性：

例如：

@Override
protected void configure(HttpSecurity http) throws Exception {
http
      .authorizeRequests()
        .antMatchers("/rest/admin/**").hasAnyRole("ADMIN").and()
      .httpBasic()
        .and()
    .csrf().disable();   
}

例如：

@PreAuthorize("hasRole('ROLE_USER')")

或

@PreAuthorize("hasRole('ROLE_ADMIN')")

然后，它应该像预期的那样工作。

此外，如果它仍然不能按预期工作，我建议为每个角色创建两个单独的groupedepanapi，并根据超级角色的路径标识符（即在您的情况下为ADMIN）分隔API，并在各自的AntMatcher上创建各自的安全配置（例如：.antMatchers（“/rest/ADMIN/**”）。hasAnyRole（“管理员”））。然后，当您在每个角色的路径上配置安全性，以及为文档配置单独的GroupedOpenApi时，这应该会起作用。

注：我会先尝试第一种方法，只使用第二种方法作为后备方法。