用于与Angular应用程序通信的Spring Boot Security配置

Question

我让spring boot应用程序在域A上运行。它的目的是公开一些RESTendpoint。

此外，我有角度8应用程序。它可以部署在同一个域A或其他域B中。spring boot应用程序知道应用程序部署在哪个域上。

我需要配置Spring Security性，因此它将仅接受来自角应用程序的特定endpoint上的请求。但是，一些endpoint需要了解角色

例如：

• /api/v1/resources/**-应仅来自angular app

我将非常感谢一些建议的最佳方法为此

Answer 1

在您的WebSecurityConfig类中，它从WebSecurityConfigrerAdapter（org.springframework.security.config.annotation.web.configuration.WebSecurityConfigrerAdapter）扩展而来，编辑您的配置mwthod如下

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.cors().and().csrf().disable().
            authorizeRequests()
            .antMatchers("/api/v1/resources/admin/**").hasRole("admin")
            .antMatchers("/api/v1/payments/**").permitAll()
            .anyRequest().authenticated()           
            ...
            ...
        }

Answer 2

您可以通过在securityConfig中应用特定于URL的过滤器来实现这一点。java类，其中扩展了WebSecurityConfigureAdapter类，您还需要从Angular应用程序传递一个自定义头。

@Autowired
private HeaderFilter headerFilter;

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.antMatcher("/api/v1/resources/**")
        .addFilterBefore(headerFilter, BasicAuthenticationFilter.class)
        .authorizeRequests()
        .anyRequest().authenticated();
}

您可以创建HeaderFilter。类和内部doFilter（）方法实现如下。

public class HeaderFilter extends GenericFilterBean {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        Enumeration<String> headerNames = httpRequest.getHeaderNames();

        if (headerNames != null) {
            while (headerNames.hasMoreElements()) {
                request.getHeader("YOUR_CUSTOM_HEADER");
                //get Angular app specific header and it's value whether it is correct then true else stop filter chain.
                if(FOUND){
                   chain.doFilter(request, response);
                } else {
                   throw Exception();
                }
            }
        }

    }
}

您还可以在securityconfig中为管理员访问添加基于角色的附加身份验证。JAVA