如何为基于spring的rest API和静态内容增加安全性

Question

我有一个web应用程序+一组使用Spring创建的rest API。它本质上是一些html页面向rest服务器发送ajax请求。结构看起来有点像这样：

1. 相同的凭据可用于静态内容和rest调用。
2. 用户可以通过登录页登录，对于进一步的rest调用，可以使用某种令牌或从服务器返回的东西。

我已经检查了rest API的Spring Security方案，并找到了一些关于静态内容安全的资源，但无法找到如何将其与上述内容结合在一起的方法。

Answer 1

我猜你想拥有两套资源。其中一个开放供公众访问，例如在/public上下文中提供，另一个受保护，在/protected中提供。

首先，您应该在Web配置中创建一些资源处理程序:

@EnableWebMvc
@Configuration
public class WebConfig extends WebMvcConfigurerAdapter {
    // other stuffs

    @Override
    public void addResourceHandlers(ResourceHandlerRegistry registry) {
        registry.addResourceHandler("/public/**").addResourceLocations("classpath:/public/");
        registry.addResourceHandler("/protected/**").addResourceLocations("classpath:/resources/");
    }
}

这样，/public目录中的所有静态内容将在/public/**endpoint提供服务，/protected/**endpoint将为/resources目录中的文件提供服务。

则应配置Spring Security性以保护/protected/**endpoint：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // other stuffs

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                    .antMatchers("/public/**").permitAll()
                    .antMatchers("/protected/**").authenticated()
                    .anyRequest().authenticated();
    }
}

更新RESTendpoint，您可以使用相同的匹配器，也可以使用方法级别安全进行更精细的粒度控制。为了启用方法级安全性，请将@EnableGlobalMethodSecurity（prePostEnabled=true)添加到SecurityConfig中。然后可以在hanlder方法上使用prepost注释，如下所示：

@RestController
@RequestMapping("/greet")
public class GreetingService {
    // it's a public rest endpoint
    @PreAuthorize("permitAll()")
    @RequestMapping("/public")
    public void doGreetToPublicUsers() {...}

    // it's a protected rest endpoint
    @PreAuthorize("isAuthenticated()")
    @RequestMapping("/protected")
    public void doGreetToProtectedUsers() {...}

    // it's a role protected rest endpoint
    @PreAuthorize("hasRole('ROLE_ADMIN')")
    @RequestMapping("/admin")
    public void justForAdmin() {...}
}