使用用户角色和Spring Security性保护URL

Question

我的Java应用程序中有多个用户角色。下面是我的代码：

private String userAccess[] = new String[]{"/dashboard/**"};
private String dataAccess[] = new String[]{"/dashboard/**", "/data/**"};
private String adminAccess[] = new String[]{"/dashboard/**", "/data/**", "/admin/**"};

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
        .authorizeRequests()
        .antMatchers(publicResources).permitAll()
            .antMatchers(userAccess).hasRole("USER").anyRequest().authenticated()
            .antMatchers(dataAccess).hasRole("DATA").anyRequest().authenticated()
            .antMatchers(adminAccess).hasRole("ADMIN").anyRequest().authenticated()

错误：

因此，所发生的情况是，它加载了用户数据的URL访问权限，但当执行最后一行时，它将/dashboard URL更改为具有ADMIN访问权限。我的角色仍然是数据角色，因此不能访问/dashboard URL。

最后一行似乎覆盖了其他行。再来看看URL特权，如果我删除“/dashboard”，那么当涉及到“/data”URL时，我会得到同样的问题。

有没有更好的方法来解决这个问题？

谢谢

Answer 1

如果不重复角色的终结点，该怎么办

private String userAccess[] = new String[]{"/dashboard/**"};
    private String dataAccess[] = new String[]{"/data/**"};
    private String adminAccess[] = new String[]{"/admin/**"};

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .antMatchers(publicResources).permitAll()
                .antMatchers(userAccess).hasAnyRole("USER", "DATA", "ADMIN").anyRequest().authenticated()
                .antMatchers(dataAccess).hasAnyRole("DATA", "ADMIN").anyRequest().authenticated()
                .antMatchers(adminAccess).hasRole("ADMIN").anyRequest().authenticated();
    }