403禁止-带Spring靴的Spring安全

Question

我有我的spring boot应用程序，我正在尝试添加Spring Security性，但当我通过postman发出请求时，我不断收到一个403 Forbbiden，联机时我发现我应该在我的配置中添加：“.csrf（）.disable（）”，但它不起作用（如果我在permitAll（）中放置路径为：“person/**”的方法，则所有操作都有效）

这是我的代码：

@Data
@AllArgsConstructor
@NoArgsConstructor
@Document("User")
public class User {
    @Id
    private String id;
    private String name;
    private String password;
    private String email;
    private Set<UserRole> roles;
}

public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final UserDetailsService userDetailsService;
    private final BCryptPasswordEncoder encoder;
  @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(encoder);}

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        log.info("HttpSecurity: {}",http);
        http.authorizeRequests()
                .antMatchers( "/user/saveUser").permitAll()
                .antMatchers("/person/**").hasAnyRole()
                .and().csrf().disable().cors().disable();}
}

public class UserService implements UserDetailsService{
    private final UserRepository userRepo;
    private final BCryptPasswordEncoder passwordEncoder;

    @Override
    public UserDetails loadUserByUsername(String email) throws UsernameNotFoundException {
        log.info("mail request: {}",email);
        Optional<User> opt = userRepo.findUserByEmail(email);
        log.info("Find user: {}", opt);
        org.springframework.security.core.userdetails.User springUser=null;

        if(opt.isEmpty()) {
            throw new UsernameNotFoundException("User with email: " +email +" not found");
        }else {
            User user =opt.get();
            Set<UserRole> roles = user.getRoles();
            Set<GrantedAuthority> grantedAuthorities = new HashSet<>();
            for(UserRole role:roles) {
                grantedAuthorities.add(new SimpleGrantedAuthority(role.name()));
            }
            springUser = new org.springframework.security.core.userdetails.User(
                    email,
                    user.getPassword(),
                    grantedAuthorities );

        }
        return springUser;
    }

我的用户控制器：

    @RestController
    @RequestMapping("user")
public class UserController {
    private final UserService userService;
    @PostMapping("/saveUser")
    public ResponseEntity<String> saveUser(@RequestBody User user) {
        log.info("Registering User: {}", user);
        userService.saveUser(user);
        return ResponseEntity.ok("registered User");
    }
}

My person controller：（我获取403的方法）@RestController
@RequestMapping（“person”）公共类PersonController{@Autowired PersonService PersonService；@GetMapping（“/getAll”）公共响应属性

这是我第一次使用Spring Security性，我遵循了一个在线教程，但我真的不明白为什么每次我把我的请求放在安全性中，它仍然得到403禁止

Answer 1

我认为您可能需要将配置和EnableWebSecurity注释添加到您的SecurityConfig类中，因为没有它们，spring security无法看到您的安全配置。

见参考文件：https://docs.spring.io/spring-security/site/docs/current/api/org/springframework/security/config/annotation/web/configuration/EnableWebSecurity.html

请注意，自5.7.0-M2以来，Web安全配置适配器（WebSecurity ConfigureAdapter）就被弃用了，因此如果您使用更高版本的spring security，您可以考虑创建一个类型为安全过滤链（SecurityFilterChain）的bean来配置应用程序中的安全性。