Spring 5授权未按预期工作

Question

我是Spring Security的新手。我们在我的一个示例示例中使用Spring Security 5.4.5和Spring Boot。

我在下面的配置类中尝试在RESTAPI的/user和/adminendpoint中应用Spring Security身份验证/授权。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    PasswordEncoder bcryptPasswordEncoder;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .anonymous().principal("guest").authorities("GUEST_ROLE")//Provide the name and role to the annonymous user
            .and()
            .authorizeRequests()
            .antMatchers("/register").anonymous()//allows registration page to be accessed by annonymous users only
            .and()
            .authorizeRequests()
            .antMatchers(HttpMethod.GET,"/admin").hasAnyRole("ADMIN_ROLE")
            .antMatchers(HttpMethod.GET,"/user").hasAnyRole("STUDENT_ROLE", "ADMIN_ROLE")
            .and()
            .httpBasic();


    }

    @Override
    @Bean
    protected UserDetailsService userDetailsService() {
        UserDetails annaSmithUserDetails = User.builder()
                .username("annasmith")
                .password(bcryptPasswordEncoder.encode("password"))//default password enoder is bcrypt
                .roles("STUDENT_ROLE", "ADMIN_ROLE") //role of the user
                .authorities("STUDENT_READ","STUDENT_WRITE","COURSE_READ","COURSE_WRITE") //authorities or we can say permission assigned to the user
                .build();
        return new InMemoryUserDetailsManager(annaSmithUserDetails);//can configure different
    }

}

根据上述Spring配置 /userUSER和ADMIN角色都可以访问， /adminADMIN角色也可以访问。

当我试图在浏览器中访问/user时，它会显示用户名和密码弹出窗口，一旦我输入配置用户的正确凭据，它就不工作，并给出403错误。

我有以下三个问题

1. 在控制台日志中没有看到任何错误，是否有办法可以看到Spring Security显示403错误的原因？
2. 上面的Spring Security配置有什么问题，因为我无法访问REST APIendpoint？

Answer 1

1. 我在控制台日志中没有看到任何错误，是否有办法了解spring security显示403错误的原因

通过启用spring调试日志，可以通过简单的谷歌搜索或在spring文档中找到如何做到这一点。学会调试你的应用程序（调试你的应用程序应该始终是你学习的第一件事，并且应该在询问堆栈溢出之前完成）。

上述Spring Security配置有什么问题，因为我无法访问REST APIendpoint？

由于您尚未透露如何访问应用程序，可能会出现一些问题。通过curl，web浏览器，在react应用程序中使用fetch的另一个webclient等也应该包括在询问堆栈溢出时，以便人们能够重现手头的问题。

但是列出一些可能出错的事情：

• 您的请求处理不当
• 您的密码可能不正确，因为我发现您的密码加密不正确（请参阅如何实际加密的文档）
• 确保使用正确的前缀存储密码，或使用UserBuilder users=User。withDefaultPasswordEncoder（） 在文档中构建用户时
• 如果要遵循任何标准，则应定义不带前缀或后缀的角色（_ROLE）
• 登录后是否重定向到不允许访问的内容

如您所见，有几件事可能是错误的，但您提供的信息太少，无法回答，在询问堆栈溢出之前，您可以做很多事情。

因为这个问题很模糊，所以答案很模糊。