如何使用Spring Boot和Spring Security保护REST API？

Question

null

当前状态

  @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {

        HttpServletRequest request = (HttpServletRequest) req;

        String accessToken = request.getHeader(AUTHORIZATION_TOKEN);
        Account account = accountDao.find(accessToken);

        if (account == null) {    
            throw new UnauthorizedException();    
        }

        chain.doFilter(req, res);

    }

请给我一些如何开始的点子。

Answer 1

基于令牌的身份验证--用户将提供其凭据并获得唯一的、有时间限制的访问令牌。我想在我自己的实现中管理令牌的创建，检查有效性，过期。

实际上，对令牌身份验证使用筛选器--这种情况下最好的方法

最终，您可以通过Spring数据创建CRUD来管理令牌的属性，如expire等。

这不是问题，您可以通过Spring security config管理资源，如下所示:.antmatchers（“/rest/blabla/**”）.PermitAll()

某些资源仅供具有管理员权限的用户访问,

@Controller
@RequestMapping(value = "/adminservice")
@Secured("ROLE_ADMIN")
public class AdminServiceController {

    http
            .authorizeRequests()
            .antMatchers("/openforall/**").permitAll()
            .antMatchers("/alsoopen/**").permitAll()
            .anyRequest().authenticated()

是的，通过令牌过滤器，您的用户将被认证。

回到上面的单词，查看@enablewebsecurity。您的班级将是：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {}

    @Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests()
            .antMatchers("/assets/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin()
                .usernameParameter("j_username")
                .passwordParameter("j_password")
                .loginPage("/login")
                .defaultSuccessUrl("/", true)
                .successHandler(customAuthenticationSuccessHandler)
                .permitAll()
            .and()
                .logout()
                .logoutUrl("/logout")
                .invalidateHttpSession(true)
                .logoutSuccessUrl("/")
                .deleteCookies("JSESSIONID")
                .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .and()
                .csrf();
}