蚂蚁匹配器在Spring安全中不起作用

Question

我的应用程序中有两个URL：

• /sa/abc（角色-abc应该可以访问它）

为此，我配置了：

http
    .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()
    .authorizeRequests()
        .antMatchers("/sa/**").authenticated()
        .antMatchers("/sa/abc/**").hasAnyAuthority("ABC")
        .antMatchers("/sa/practices/**").hasAnyAuthority("ADMIN")

我希望角色为ABC的用户不能访问/sa/practices/link1，但他可以。

我还想知道什么将发生的链接中没有提到的antMatcher。我的猜测是，无论角色如何，都可以毫无问题地访问它们。

我说得对吗？

Answer 1

秩序很重要。匹配的第一个蚂蚁模式决定了访问权限。所以在你的情况下：

http
    .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
    .authorizeRequests()
        .antMatchers("/sa/abc/**").hasAnyAuthority("ABC")
        .antMatchers("/sa/practices/**").hasAnyAuthority("ADMIN")
        .antMatchers("/sa/**").authenticated()

请注意，最不特定的路径是最后一条。