Spring Security无法正常工作

Question

  @Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests()
            .antMatchers("/entrysheet/**").permitAll()//.hasRole("USER")
            .antMatchers("/users/**").hasRole("ADMIN") //Needs to be first
            .anyRequest().authenticated()
    ;
}


@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

@Autowired
UsersRepository usersRepository;

@Bean
public UserDetailsService userDetailsService() {
    System.out.println("fdsfdsfsd");
    InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
    usersRepository.findAll().forEach(users -> {
        UserDetails userDetails = User.withUsername(users.getUsername()).password(users.getPassword())
                .roles((users.getIdRole() != null && users.getIdRole() == 1) ? "ADMIN" : "USER").build();
        System.out.println(userDetails.getUsername() + " " + userDetails.getPassword() +
                userDetails.getAuthorities());

        manager.createUser(userDetails);
            }
    );

    return manager;
}


@Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests()
           //.antMatchers("/entrysheet/**").permitAll().anyRequest().authenticated()//.hasRole("USER")
           //.antMatchers("/users/**").hasRole("ADMIN") //Needs to be first
            .antMatchers("/", "/**").permitAll() //Permit all other roles to all other paths
            .anyRequest().authenticated()

            //.authorizeRequests()
            //.antMatchers("/entrysheet/**").permitAll()//.hasRole("USER")
            //.antMatchers("/users/**").hasRole("ADMIN") //Needs to be first
            //.anyRequest().authenticated()


    ;
}

}

这是我的配置。但似乎/用户/无法被任何人访问。

每当我输入“. hasRole（“RoleName”）”时，它只会拒绝该角色的访问。我得到一个{“时间戳”：1526671066818，“状态”： 403，“错误”：“禁止”，“消息”：“拒绝访问”，“路径”：“/用户”}

从那。

我想要的是，一些请求只允许“USER”访问，例如：“/entrysheet”，“/datasheet”等，而“ADMIN”只能访问“/USER”

Answer 1

你需要在两者之间保持谨慎

 hasRole([role])

如果当前主体具有指定的角色，则返回true。默认情况下，如果提供的角色不以“ROLE_”开头，则会添加它。这可以通过修改DefaultWebSecurityExpressionHandler上的defaultRolePrefix来自定义。

或

hasAuthority([authority])

如果当前主体具有指定的权限，则返回true

第一个将在默认情况下向指定的值添加“ROLE\”

所以我会改为拥有权限

文档