Spring Security授权检查不起作用

Question

我有以下几点。

@EnableWebSecurity
@Configuration
public class RetailerSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http
                .csrf().ignoringAntMatchers("/login/**")
                .and()
                .authorizeRequests()
                .antMatchers("/login", "/login/reset", "/resources/**", "/balance/getResult/**").permitAll()
                .anyRequest().fullyAuthenticated()
                .antMatchers("/retailers/**", "/balance/**").access("hasRole('ROLE_ADMIN')")
                .antMatchers("/tellers/**", "/tellers").hasAnyAuthority("PRIMARY")
                .antMatchers("/sell/**", "/sell").hasAnyAuthority("TELLER")
                .and()
                .formLogin()
                .loginPage("/login")
                .successForwardUrl("/login/success")
                .permitAll()
                .and()
                .logout()
                .permitAll();

    }
}

我还尝试了一系列其他的排列，似乎都不起作用。我已经检查了这部分代码是否被执行，它执行并没有错误。

编辑

忘了提一下，所有的url都不能被经过身份验证的用户访问。但是任何经过身份验证的用户都可以访问所有URL。例如，以PRIMARY登录，我可以点击/sell和/retailers/create，这是不应该发生的。

我没有东西可以尝试了。Emm...我已经用完了。我应该检查什么？

Answer 1

很奇怪，但是在权限设置修复它之前移动anyRequest（）. fullyAuthentiated（）。最后看起来是这样的

@EnableWebSecurity
@Configuration
public class RetailerSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http
                .csrf().ignoringAntMatchers("/login/**")
                .and()
                .authorizeRequests()
                .antMatchers("/login", "/login/reset", "/resources/**", "/balance/getResult/**").permitAll()
                .antMatchers("/retailers/**", "/balance/**").access("hasRole('ROLE_ADMIN')")
                .antMatchers("/tellers/**", "/tellers").hasAnyAuthority("PRIMARY")
                .antMatchers("/sell/**", "/sell").hasAnyAuthority("TELLER")
                .anyRequest().fullyAuthenticated()
                .and()
                .formLogin()
                .loginPage("/login")
                .successForwardUrl("/login/success")
                .permitAll()
                .and()
                .logout()
                .permitAll();

    }
}