使用 Spring Security，我如何使用 HTTP 方法（例如 GET、PUT、POST）来区分特定 URL 模式的安全性？

Question

Spring Security 参考文献指出：

可以使用多个元素来定义不同的 不同组 URL 的访问要求，但它们将 按列出的顺序进行评估，并将使用第一个匹配项。所以你 必须将最具体的匹配项放在顶部。您还可以添加一个 method 属性将匹配限制为特定的 HTTP 方法（GET、 发布、放置等）。如果一个请求匹配多个模式， 无论顺序如何，特定于方法的匹配都将优先。

如何配置 Spring Security，以便根据用于访问 URL 模式的 HTTP 方法来不同地保护对特定 URL 模式的访问？

Answer 1

对于那些喜欢基于 Java 注解的配置的人，请将此类放入您的应用程序中。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers(HttpMethod.GET).permitAll();
        http.authorizeRequests().antMatchers(HttpMethod.POST).denyAll();
        http.authorizeRequests().antMatchers(HttpMethod.DELETE,"/you/can/alsoSpecifyAPath").denyAll();
        http.authorizeRequests().antMatchers(HttpMethod.PATCH,"/path/is/Case/Insensitive").denyAll();
        http.authorizeRequests().antMatchers(HttpMethod.PUT,"/and/can/haveWildcards/*").denyAll();

    }

}

使用以下 Maven 依赖项（早期版本的 Spring-Security 也应该可以工作）：

    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-web</artifactId>
        <version>5.0.0.M3</version>
    </dependency>
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-config</artifactId>
        <version>5.0.0.M3</version>
    </dependency>

Answer 2

这只是关于配置。它表示将在配置文件的 标记中从上到下评估 元素：

<http auto-config="true">
    <intercept-url pattern="/**" access="isAuthenticated" />
    <intercept-url pattern="/login.jsp" access="permitAll" />
</http>

在上面的示例中，我们试图只允许经过身份验证的用户访问所有内容，当然，登录页面除外（用户必须首先登录，对吧？！）。但是，根据文档，这行不通，因为不太具体的匹配位于顶部。因此，实现此示例目标的正确配置（之一）是：

<http auto-config="true">
    <intercept-url pattern="/login.jsp" access="permitAll" />
    <intercept-url pattern="/**" access="isAuthenticated" />
</http>

将更具体的匹配放在顶部。

引用的最后一件事是关于 HTTP 方法的。您可以使用它来指定匹配，因此：

<http auto-config="true">
    <intercept-url pattern="/client/edit" access="isAuthenticated" method="GET" />
    <intercept-url pattern="/client/edit" access="hasRole('EDITOR')" method="POST" />
</http>

在第二个示例中，要通过 GET 访问 /client/edit，用户只需要进行身份验证，但要访问 /client/edit< /code> 通过 POST（比如说，提交编辑表单），用户需要具有 EDITOR 角色。在某些地方可能不鼓励使用该 url 模式，但这只是一个示例。