Spring Security未正确拦截？[副本]

Question

我有如下Spring Boot配置：

http
    .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
    .addFilterBefore( new Filter(), UsernamePasswordAuthenticationFilter.class)
    .csrf().disable() // Disabled, cause enabling it will cause sessions
    .headers()
        .frameOptions()
        .sameOrigin()
        .addHeaderWriter(new XXssProtectionHeaderWriter())
        .and()
    .authorizeRequests()
        .antMatchers("/app/**", "/rest/**").hasAuthority(DefaultPrivileges.ACCESS_TASK)
        .anyRequest().permitAll();

我的理解是，只有以app或rest开头的请求才会被我的自定义过滤器截获，但结果是请求到根（http://localhost:8080/context/也会被截获。

我有多种Spring Security配置，其他配置如下：

http
    .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
    .csrf().disable();

if (taskAppProperties.isRestEnabled()) {
    if (restAppProperties.isVerifyRestApiPrivilege()) {
        http
            .antMatcher("/*-api/**")
            .authorizeRequests()
                .antMatchers("/*-api/**").hasAuthority(DefaultPrivileges.ACCESS_REST_API)
                .and()
            .httpBasic();
    } else {
        http
            .antMatcher("/*-api/**")
            .authorizeRequests()
                .antMatchers("/*-api/**").authenticated()
                .and()
            .httpBasic();
    }
} else {
    http
        .antMatcher("/*-api/**")
        .authorizeRequests()
            .antMatchers("/*-api/**").denyAll();
}

有人能帮忙吗？




Answer 1

HttpSecurity。authorizeRequests-返回设置匹配器和角色条件的ExpressionInterceptUrlRegistry，该条件将使用ExpressionInterceptUrlRegistry方法添加。getRegistry，如果您仅在实际进行身份验证的存根处检查此方法的其他用法，则返回。

我们使用HttpSecurity添加的过滤器。addFilterBefore不会检查任何请求匹配。如果需要，可以在自定义过滤器中再执行一次检查，以避免其他URI

http
  .sessionManagement()
  .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
  .and()
  .addFilterAfter( new Filter() {
      @Override
      public void init(FilterConfig filterConfig) throws ServletException {

      }

      @Override
      public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
          HttpServletRequest httpServletRequest = ((HttpServletRequest) request);
          if(httpServletRequest.getRequestURI().startsWith("/app/") || httpServletRequest.getRequestURI().startsWith("/rest/")) {
              // Do you secured filter computations

          } 
          chain.doFilter(request, response);
      }

      @Override
      public void destroy() {

      }}, UsernamePasswordAuthenticationFilter.class)
  .csrf()
  .disable() // Disabled, cause enabling it will cause sessions
  .headers()
  .frameOptions()
  .sameOrigin()
  .addHeaderWriter(new XXssProtectionHeaderWriter())
  .and()
  .authorizeRequests()
  .antMatchers("/app/**", "/rest/**")
  .hasAuthority(DefaultPrivileges.ACCESS_TASK)
  .anyRequest()
  .permitAll();

Answer 2

我意识到这有点令人困惑，但实际上有两种antMatchers方法，一种是从authorizedRequests分支出来的，另一种是从requestMatchers分支出来的。

让我们看看以下声明：

http
    .requestMatchers()
        .antMatchers("/app/**", "/api/**")
        .and()
    .authorizeRequests()
        .antMatchers("...").authenticated()
    ...

在DSL中，您可以描述对Spring Security过滤器链的实例很重要的endpoint。因此，此过滤器链仅适用于以/app或/api开头的URI。

让我们看看另一个：

http
    .authorizeRequests()
    .antMatchers("/app/**", "/api/**")
    .authenticated();

虽然这似乎在做同样的事情，但事实并非如此。这是因为您正在调用属于authorizeRequests（）的antMatchers方法。

这就是为什么缩进对于Spring Security DSL很重要的原因。因为DSL中有一个层次结构，所以您想要缩进，就像您想要缩进您的if语句一样。

在Spring Security 5.2中，新的lambda DSL简化了这一点：

http
    .requestMatchers(r -> r.antMatchers("/app/**", "/api/**"))
    .authorizeRequests(a -> a.antMatchers("...").authenticated());