Spring引导执行器安全维修不能正常工作

Question

尝试在调用以下命令时保护spring Actuctor服务/管理上下文路径：

http://localhost:9091/manage/metrics

在yalm.properties中使用此配置

管理：端口：9091地址：127.0.0.1上下文路径：/manage security：enabled：true角色:admin。

带有安全执行器服务层Git分支

Spring Security配置：

'@override protected void configure（HttpSecurity http）引发异常{

    http.authorizeRequests().antMatchers("/pizzas","/info","/addPizza").hasAnyRole("USER","ADMIN").and().authorizeRequests().antMatchers("/users","/addUser").hasRole("ADMIN").and().authorizeRequests().antMatchers("/static/**","/logout","/login").permitAll();

    http.formLogin().loginPage("/login").failureUrl("/login?error").permitAll();

    http.logout().logoutSuccessUrl("/?logout").deleteCookies("remember-me").permitAll();


    http.sessionManagement().maximumSessions(1).
    expiredUrl("/?expired").maxSessionsPreventsLogin(true).and()
    .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);
}

/**
 * Configure global security with Bccyptenoncder and custom userDetailService with Spring Security
 * @param auth
 * @throws Exception
 */
@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {

    auth.userDetailsService(userDetailsServiceImpl).passwordEncoder(passwordEncoder());
}


/**
 * Bcrypt password encoding configuration, more info at http://www.baeldung.com/spring-security-registration-password-encoding-bcrypt
 * @return
 */
@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}
'

Answer 1

春靴团队已经解决了我这个问题。我在这里分享解决方案：

同源政策

您不能在执行器安全性中使用主Spring应用程序的登录页面。原因是cookie将与应用程序的域+端口+上下文路径相关联。这是同源政策的一部分

为了使用此配置，您需要在管理应用程序中设置一个登录页面。为此，您只需要在请求/login时返回一个HTML表单。但是，我不确定您将如何在引导管理应用程序中做到这一点。也许@philwebb或@dsyer可以详细说明如何做到这一点。

管理应用程序的不同安全配置

或者，您可以为管理应用程序创建单独的安全配置，允许使用基本身份验证进行身份验证。为此,您需要创建一个类似于以下内容的安全配置：

@Order(0)
@Configuration
public class ManagementSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
         http
            .requestMatchers()
                .requestMatchers(request -> "/manage".equals(request.getContextPath()))
                .and()
            .authorizeRequests()
                .anyRequest().hasRole("ADMIN")
                .and()
            .httpBasic();
    }
}

您可以更简洁地重写配置,如：

 http
    .authorizeRequests()
        .antMatchers("/pizzas","/info","/addPizza").hasAnyRole("USER","ADMIN")
        .antMatchers("/users","/addUser").hasRole("ADMIN")
        .antMatchers("/static/**","/logout","/login").permitAll()
        .and()
    .formLogin()
        .loginPage("/login")
        .failureUrl("/login?error")
        .permitAll()
        .and()
    .logout()
        .logoutSuccessUrl("/?logout")
        .deleteCookies("remember-me")
        .permitAll();

您可以考虑阅读Spring Security Java Config Preview：Readability，了解如何格式化配置以更好地阅读它的详细信息。