Spring Security @PreAuthorize на контроллерах

Question

Я пытаюсь использовать URL (муравей основе) соответствия вместе с @PreAuthorize ("permitAll") на некоторые контроллеры, т.е.

@Controller 
@RequestMapping("/register") 
public class RegistrationController { 
... 

    @PreAuthorize("permitAll") 
    @RequestMapping(method = RequestMethod.GET) 
    public String register() { ... } 

SecurityConfig:

@Configuration 
@EnableWebMvcSecurity 
@EnableGlobalMethodSecurity(prePostEnabled = true) 
public class SecurityConfig extends WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     // @formatter:off 
     http 
      .authorizeRequests() 
       .antMatchers("/").permitAll() 
       .anyRequest().authenticated() 

Я также попытался добавить @EnableGlobalMethodSecurity в мой MVC конфигурации:

@Configuration 
@EnableGlobalMethodSecurity(prePostEnabled = true) 
public class MvcConfig extends WebMvcConfigurerAdapter { ... } 

Но это не имеет никакого эффекта

Однако я все еще запрашиваю аутентификацию при попадании/регистрации. Если я добавлю «/ register» к муравьям, он работает, то есть .antMatchers («/», «/ register»). AllowAll()

Что мне здесь не хватает? Кажется, @PreAuthorize не влияет на мои контроллеры.

Answer 1

Вы не можете этого сделать, потому что муравьиные муравьи и @PreAuthorize работают на разном уровне.

Муравейник работает на http уровень безопасности. Фильтр безопасности Spring смотрит на запрос, и если он обнаруживает, что доступ должен быть отклонен, он даже не передает запрос сервле диспетчеру и напрямую отправляет ошибку 403.

PreAuthorize работа на метод уровень. Когда метод будет вызван, прокси-сервер AOP контролирует, должен ли разрешаться доступ. Таким образом, уровень 2 авторизации равен прикованным, вместо второго переопределения первого.

Во всяком случае, я настоятельно советую вам неиспользовать @PreAuthorize("hasRole('ADMIN')") на контроллере:

• легко можно сделать с помощью простой муравьиной согласовани
• это заставляет вас позволить проксирование на контроллере, либо с классом проксированием вместо JDK проксирование или с помощью интерфейсов для контроллеров

ИМХО, @PreAuthorize лучше всего подходит на уровне сервиса, потому что вы можете смешивать область о bjects с полномочиями, предоставленными пользователем, для получения штрафных разрешений.