Spring Security在具有多个WebSecurity配置适配器实现的任何endpoint上都不起作用

Question

我正在尝试在我的应用程序中设置Spring Security，它有3个组件：

• REST API（在v1路径下）

我想这样设置安全性：

• 用JWT令牌保护的REST API
• 使用HTTP basic保护管理员
• 无担保文件（公共资源）

我尝试在WebSecurityConfigrerAdapter的单独实现中为这3个部分配置身份验证，结果如下所示：

对于REST API：

@Configuration
@EnableWebSecurity
@Order(1)
class ApiWebSecurityConfig : WebSecurityConfigurerAdapter() {

    // FIXME: Temporary override to disable auth
    public override fun configure(http: HttpSecurity) {
        http
            .antMatcher("/v1/*")
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .authorizeRequests()
                    .anyRequest().permitAll()
                .and()             
                    .csrf().disable()
        }
    }

对于Spring管理员：

@Configuration
@EnableWebSecurity
@Order(2)
class AdminWebSecurityConfig(
    private val adminServerProperties: AdminServerProperties
) : WebSecurityConfigurerAdapter() {

    public override fun configure(http: HttpSecurity) {
        http.antMatcher("${adminServerProperties.contextPath}/**")
                .authorizeRequests()
                .antMatchers("${adminServerProperties.contextPath}/assets/**").permitAll()
                .antMatchers("${adminServerProperties.contextPath}/login").permitAll()
                .anyRequest()
                .authenticated()
            .and()
                .cors()
            .and()
                .formLogin()
                .loginPage("${adminServerProperties.contextPath}/login")
            .and()
                .logout()
                .logoutUrl("${adminServerProperties.contextPath}/logout")
            .and()
                .httpBasic()
            .and()
                .csrf()
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
                .ignoringRequestMatchers(
                     AntPathRequestMatcher("${adminServerProperties.contextPath}/instances", HttpMethod.POST.toString()),
                     AntPathRequestMatcher("${adminServerProperties.contextPath}/instances/*", HttpMethod.DELETE.toString()),
                     AntPathRequestMatcher("${adminServerProperties.contextPath}/actuator/**")
                )
    }

    @Bean
    fun corsConfigurationSource(): CorsConfigurationSource = UrlBasedCorsConfigurationSource().apply {
        registerCorsConfiguration("/**", CorsConfiguration().apply {
            allowedOrigins = listOf("*")
            allowedMethods = listOf("HEAD", "GET", "POST", "PUT", "DELETE", "PATCH")
            allowCredentials = true
            allowedHeaders = listOf("Authorization", "Cache-Control", "Content-Type")
        })
     }
}

对于公共文件：

@Configuration
@EnableWebSecurity
@Order(3)
class DocsWebSecurityConfig : WebSecurityConfigurerAdapter() {

    public override fun configure(http: HttpSecurity) {
        http
            .requestMatchers()
            .antMatchers("/swagger-ui/**", "/docs/**", "/docs-oas3/**")
            .and()
            .authorizeRequests()
            .anyRequest()
            .authenticated()
    }
}

我的主要应用程序类如下所示：

@SpringBootApplication
@EnableAdminServer
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
@EnableConfigurationProperties(FirebaseConfigurationProperties::class, JwtConfigurationProperties::class)
class HldpDeviceManagementApplication

fun main(args: Array<String>) {
    runApplication<HldpDeviceManagementApplication>(*args)
}

当我运行应用程序时，除了此日志输出之外，没有错误或任何安全信息：

Will not secure Ant [pattern='/v1/**']
Will not secure Ant [pattern='/admin/**']
Will not secure Or [Ant [pattern='/swagger-ui/**'], Ant [pattern='/docs/**'], Ant [pattern='/docs-oas3/**']]

有什么建议吗？为什么配置不起作用？或者我可以用另一种方式来保护应用程序，就像这样？我试着对配置做了一些更改，但似乎没有任何帮助。

Answer 1

你没有提到什么时候它不起作用，是在你提出请求的时候，还是在应用程序启动的时候？但是，我可以帮助您进行配置，并获取解决问题所需的信息。

我将通过公开一个安全过滤链bean，尝试用配置HttpSecurity的新方法来简化您的配置。

@Configuration
public class SecurityConfiguration {

    @Bean
    @Order(0)
    public SecurityFilterChain api(HttpSecurity http) throws Exception {
         http
            .requestMatchers(requests -> requests.antMatchers("/v1/**"))
            ...
        // the rest of the configuration
        return http.build();
    }

    @Bean
    @Order(1)
    public SecurityFilterChain admin(HttpSecurity http) throws Exception {
        http
            .requestMatchers(requests -> requests.antMatchers("/admin/**"))
            ...
        // the rest of the configuration
        return http.build();
    }

    @Bean
    @Order(2)
    public SecurityFilterChain docs(HttpSecurity http) throws Exception {
        http
            .requestMatchers(requests -> requests.antMatchers("/docs/**"))
            ...
        // the rest of the configuration
        return http.build();
    }

}

这是用Java编写的，但是你可以很容易地适应Kotlin，很抱歉我没有在Kotlin中提供它。有了这个简化的配置，现在您可以添加日志记录。数量组织。springframework。安全性=跟踪应用程序。属性，并通过读取日志来检查Spring Security正在做什么。

Answer 2

我发现了这个问题——这是最新版本的Spring中的一个bug：https://github.com/spring-projects/spring-security/issues/10909