无法理解Spring security的行为

Question

我使用的是spring boot 2.1.4，它依赖于执行器。我想为执行器和我的应用程序配置单独的身份验证和授权机制。我阅读了多个HttpSecurity，并将我的WebSecurityAdapter配置如下：

@Configuration
public class ProvisioningServiceSecurityConfiguration {

  @Value("${actuator.user.name}")
  private String actuatorUserName;

  @Value("${actuator.password}")
  private String actuatorPassword;

  @Value("${actuator.role}")
  private String actuatorRole;

  @Bean
  public UserDetailsService userDetailsService() throws Exception {
    // ensure the passwords are encoded properly
    UserBuilder users = User.withDefaultPasswordEncoder();
    InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
    manager.createUser(users.username("user").password("password").roles("ADMIN").build());
    manager.createUser(
        users.username(actuatorUserName).password(actuatorPassword).roles(actuatorRole).build());
    return manager;
  }

  @Configuration
  @Order(1)
  public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {

    protected void configure(HttpSecurity http) throws Exception {
      http
          .antMatcher("/locations/**")
          .antMatcher("/organizations/**")
          .antMatcher("/productTypes/**")
          .authorizeRequests()
          .anyRequest().hasRole("ADMIN")
          .and()
          .httpBasic();
    }
  }

  @Configuration
  @Order(2)
  public static class ActuatorWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {

    protected void configure(HttpSecurity http) throws Exception {
      http
          .antMatcher("/manage/**")
          .authorizeRequests()
          .anyRequest().hasRole("ACTUATOR_ADMIN")
          .and()
          .httpBasic();
    }
  }

  /*@Configuration
  public static class FormLoginWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
      http
          .authorizeRequests()
          .anyRequest().authenticated()
          .and()
          .formLogin();
    }
  }*/

}

注意：我暂时禁用了表单登录

当我运行卷曲请求时

curl -XGET  http://localhost:9797/provisioningService/organizations/all

我能看到输出。似乎Spring的安全感从未存在过。当我启用表单登录时，我会看到spring登录屏幕。我观察到的另一个行为是，如果我将/位置的用户名和密码与执行器用户名和密码交换，我仍然会得到有效的响应。

我知道表单登录更像是一种退路，但我想禁用表单登录（可能我们会转移到cas），并仅基于spring security httpBasic使用身份验证和授权。我无法理解我所犯的错误。

最后，我的要求是：

1）只有当用户名密码为用户和密码时，才能访问对 /organizations或 /locations等的请求

2） 只有当用户名、密码和角色与致动器用户名和密码匹配时，才能访问致动器api请求/管理。

3） 任何其他API都可以通过Tall/form登录

我该如何实现这一目标？

Answer 1

1） Spring Security有一个功能，可以通过权限过滤（认证后）来控制访问，但没有功能可以根据登录所需的信息进行过滤。您需要业务逻辑来验证您在登录期间是否试图使用相应的ID和密码登录。

2） 如上所述，不提供ID和密码的访问控制。我建议只为您请求的两个帐户创建权限。

3） 。蚂蚁匹配器（“/form”）。permitAll（）