Spring Security-检查Web url是否安全/受保护

Question

如果当前请求是安全的，有没有办法“询问”Spring Security性？因为即使我通过了身份验证，我也要检测我是在受安全保护的URL中还是在匿名/公共页面中

提前感谢！

Answer 1

我们可以将其标记为安全通道，因此转换为https：//url。

    <intercept-url pattern="/**" access="IS_AUTHENTICATED_FULLY" requires-channel="https" />

然后我们可以使用请求。getScheme（）来标识它。我使用了org。springframework。安全版本3.1.4。释放

Answer 2

我认为您可以使用自己的实现Access决策Voter，然后只需简单地覆盖Vote方法并使用filterInvocation.getRequest estUrl（）；方法比较拦截url。

@Override
public int vote(Authentication authentication, FilterInvocation filterInvocation,
    Collection<ConfigAttribute> attributes) {
  String requestUrl = filterInvocation.getRequestUrl();
  ....
}

Answer 3

Spring Security为此提供了JSP标记支持。例如：

<sec:authorize url="/admin">

This content will only be visible to users who are authorized to access the "/admin" URL.

</sec:authorize>

Thymeleaf提供了一种Spring Security方言，它直接支持使用Spring Security性检查URL授权。例如：

<div sec:authorize-url="/admin">
    This will only be displayed if authenticated user can call the "/admin" URL.
</div>

如果您的技术不支持直接执行检查，您可以轻松地使用WebInvocationPrivilegeEvalue ator（这是JSP taglib和Thymeleaf使用的对象）。例如，您可以@AutowireWebInvocationPrivilegeEvalue ator的实例并直接使用它。显然，语法会根据您使用它的位置（即GSP、Freemarker等）而有所不同，但这里是一个直接Java代码的示例。

@Autowired
WebInvocationPrivilegeEvaluator webPrivs;

public void useIt() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();

    boolean hasAdminAccess = webPrivs.isAllowed("/admin", authentication);

    boolean hasAdminPostAccess = webPrivs.isAllowed(null, "/admin", "POST", authentication);
}