Spring Security permitAll()不允許匿名訪(fǎng)問(wèn)的操作
更新時(shí)間：2021年06月22日 11:03:13 作者：java牛牛c
這篇文章主要介紹了Spring Security permitAll()不允許匿名訪(fǎng)問(wèn)的操作，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教
Spring Security permitAll()不允許匿名訪(fǎng)問(wèn)
修改前
http
.addFilterBefore(muiltpartFilter, ChannelProcessingFilter.class)
.addFilterBefore(cf, ChannelProcessingFilter.class)
.authorizeRequests()
.anyRequest()
.authenticated()
.and()
.authorizeRequests()
.antMatchers("/ping**")
.permitAll()
.and()
.formLogin()
.loginPage("/login")
.permitAll()
.and()
.logout()
.logoutUrl("/logout")
.logoutSuccessUrl("/login");
修改后
http
.addFilterBefore(muiltpartFilter, ChannelProcessingFilter.class)
.addFilterBefore(cf, ChannelProcessingFilter.class)
.authorizeRequests()
.antMatchers("/ping**")
.permitAll()
.and()
.formLogin()
.loginPage("/login")
.permitAll()
.and()
.authorizeRequests()
.anyRequest()
.authenticated()
.and()
.logout()
.logoutUrl("/logout")
.logoutSuccessUrl("/login");
permitAll() 順序很重要，如同在 XML 配置中，即把 authorizeRequests().anyRequest().authenticate 放到最后
Spring Security @PreAuthorize 攔截?zé)o效
1. 在使用spring security的時(shí)候使用注解
@PreAuthorize("hasAnyRole('ROLE_Admin')")
放在對(duì)方法的訪(fǎng)問(wèn)權(quán)限進(jìn)行控制失效，其中配置如：
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
UserDetailsService userDetailsService;
@Bean
@Override
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean();
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(userDetailsService);
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable()
.authorizeRequests()
.antMatchers("/res/**", "/login/login*").permitAll()
.anyRequest().authenticated()
.and().formLogin().loginPage("/login/login").defaultSuccessUrl("/")
.passwordParameter("password")
.usernameParameter("username")
.and().logout().logoutSuccessUrl("/login/login");
}
}
Controller中的方法如下：
@Controller
@RequestMapping("/demo")
public class DemoController extends CommonController{
@Autowired
private UserService userService;
@PreAuthorize("hasAnyRole('ROLE_Admin')")
@RequestMapping(value = "user-list")
public void userList() {
}
}
使用一個(gè)沒(méi)有ROLE_Admin權(quán)限的用戶(hù)去訪(fǎng)問(wèn)此方法發(fā)現(xiàn)無(wú)效。
修改一下 SecurityConfig：
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable()
.authorizeRequests()
.antMatchers("/res/**", "/login/login*").permitAll()
.antMatchers("/demo/user-list").access("hasRole('ROLE_Admin')")
.anyRequest().authenticated()
.and().formLogin().loginPage("/login/login").defaultSuccessUrl("/")
.passwordParameter("password")
.usernameParameter("username")
.and().logout().logoutSuccessUrl("/login/login");
}
添加上：
.antMatchers("/demo/user-list").access("hasRole('ROLE_Admin')")
可以被正常攔截，說(shuō)明是方法攔截沒(méi)有生效。
如果是基于xml，則需要在配置文件中加上：
<security:global-method-security pre-post-annotations="enabled" proxy-target-class="true" />
換成Annotation方式以后，則需要使用 @EnableGlobalMethodSecurity(prePostEnabled=true) 注解來(lái)開(kāi)啟。
并且需要提供以下方法：
@Bean
@Override
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean();
}
才可正常攔截。
以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。
相關(guān)文章
java類(lèi)訪(fǎng)問(wèn)權(quán)限與成員訪(fǎng)問(wèn)權(quán)限解析
這篇文章主要針對(duì)java類(lèi)訪(fǎng)問(wèn)權(quán)限與成員訪(fǎng)問(wèn)權(quán)限進(jìn)行解析，對(duì)類(lèi)與成員訪(fǎng)問(wèn)權(quán)限進(jìn)行驗(yàn)證，感興趣的小伙伴們可以參考一下2016-02-02
四步輕松搞定java web每天定時(shí)執(zhí)行任務(wù)
本篇文章主要介紹了四步輕松搞定java web每天定時(shí)執(zhí)行任務(wù)，小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2018-01-01
本篇文章主要介紹了SpringMVC集成Swagger實(shí)例代碼，小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2017-04-04
java插件十分方便實(shí)用，以下是我用過(guò)不錯(cuò)的Intellij插件，當(dāng)然還有很多插件也都不錯(cuò)，下面將我覺(jué)得不錯(cuò)的插件分享給大家，希望能幫到大家2018-09-09
Java正則表達(dá)式matcher.group()用法代碼
這篇文章主要給大家介紹了關(guān)于Java正則表達(dá)式matcher.group()用法的相關(guān)資料,最近在做一個(gè)項(xiàng)目,需要使用matcher.group()方法匹配出需要的內(nèi)容,文中給出了詳細(xì)的代碼示例,需要的朋友可以參考下2023-08-08
這篇文章主要為大家介紹了JAVA中簡(jiǎn)單的for循環(huán)異常踩坑避雷詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步，早日升職加薪2022-07-07
關(guān)于String轉(zhuǎn)Json的幾種方式
這篇文章主要介紹了關(guān)于String轉(zhuǎn)Json的幾種方式,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2023-12-12
Groovy就是一種繼承了動(dòng)態(tài)語(yǔ)言的優(yōu)良特性并運(yùn)行在JVM上的編程語(yǔ)言，Groovy支持動(dòng)態(tài)輸入，閉包，元編程，運(yùn)算符重載等等語(yǔ)法，這篇文章主要介紹了springboot中使用groovy的相關(guān)知識(shí),需要的朋友可以參考下2022-09-09
這篇文章主要介紹了如何java將m3u8格式轉(zhuǎn)成視頻文件，本文通過(guò)實(shí)例代碼給大家介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2020-03-03
Java利用PDFBox實(shí)現(xiàn)PDF文檔基本操作
這篇文章主要為大家詳細(xì)介紹了java如何利用PDFBox實(shí)現(xiàn)PDF文檔基本操作,例如創(chuàng)建PDF文檔、加載PDF文檔、獲取總頁(yè)數(shù)等,需要的小伙伴可以參考下2023-11-11