Spring Security permitAll()不允許匿名訪問的操作
更新時間：2021年06月22日 11:03:13 作者：java牛牛c
這篇文章主要介紹了Spring Security permitAll()不允許匿名訪問的操作，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教
Spring Security permitAll()不允許匿名訪問
修改前
http
.addFilterBefore(muiltpartFilter, ChannelProcessingFilter.class)
.addFilterBefore(cf, ChannelProcessingFilter.class)
.authorizeRequests()
.anyRequest()
.authenticated()
.and()
.authorizeRequests()
.antMatchers("/ping**")
.permitAll()
.and()
.formLogin()
.loginPage("/login")
.permitAll()
.and()
.logout()
.logoutUrl("/logout")
.logoutSuccessUrl("/login");
修改后
http
.addFilterBefore(muiltpartFilter, ChannelProcessingFilter.class)
.addFilterBefore(cf, ChannelProcessingFilter.class)
.authorizeRequests()
.antMatchers("/ping**")
.permitAll()
.and()
.formLogin()
.loginPage("/login")
.permitAll()
.and()
.authorizeRequests()
.anyRequest()
.authenticated()
.and()
.logout()
.logoutUrl("/logout")
.logoutSuccessUrl("/login");
permitAll() 順序很重要，如同在 XML 配置中，即把 authorizeRequests().anyRequest().authenticate 放到最后
Spring Security @PreAuthorize 攔截無效
1. 在使用spring security的時候使用注解
@PreAuthorize("hasAnyRole('ROLE_Admin')")
放在對方法的訪問權(quán)限進行控制失效，其中配置如：
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
UserDetailsService userDetailsService;
@Bean
@Override
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean();
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(userDetailsService);
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable()
.authorizeRequests()
.antMatchers("/res/**", "/login/login*").permitAll()
.anyRequest().authenticated()
.and().formLogin().loginPage("/login/login").defaultSuccessUrl("/")
.passwordParameter("password")
.usernameParameter("username")
.and().logout().logoutSuccessUrl("/login/login");
}
}
Controller中的方法如下：
@Controller
@RequestMapping("/demo")
public class DemoController extends CommonController{
@Autowired
private UserService userService;
@PreAuthorize("hasAnyRole('ROLE_Admin')")
@RequestMapping(value = "user-list")
public void userList() {
}
}
使用一個沒有ROLE_Admin權(quán)限的用戶去訪問此方法發(fā)現(xiàn)無效。
修改一下 SecurityConfig：
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable()
.authorizeRequests()
.antMatchers("/res/**", "/login/login*").permitAll()
.antMatchers("/demo/user-list").access("hasRole('ROLE_Admin')")
.anyRequest().authenticated()
.and().formLogin().loginPage("/login/login").defaultSuccessUrl("/")
.passwordParameter("password")
.usernameParameter("username")
.and().logout().logoutSuccessUrl("/login/login");
}
添加上：
.antMatchers("/demo/user-list").access("hasRole('ROLE_Admin')")
可以被正常攔截，說明是方法攔截沒有生效。
如果是基于xml，則需要在配置文件中加上：
<security:global-method-security pre-post-annotations="enabled" proxy-target-class="true" />
換成Annotation方式以后，則需要使用 @EnableGlobalMethodSecurity(prePostEnabled=true) 注解來開啟。
并且需要提供以下方法：
@Bean
@Override
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean();
}
才可正常攔截。
以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。
相關(guān)文章
java類訪問權(quán)限與成員訪問權(quán)限解析
這篇文章主要針對java類訪問權(quán)限與成員訪問權(quán)限進行解析，對類與成員訪問權(quán)限進行驗證，感興趣的小伙伴們可以參考一下2016-02-02
四步輕松搞定java web每天定時執(zhí)行任務(wù)
本篇文章主要介紹了四步輕松搞定java web每天定時執(zhí)行任務(wù)，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2018-01-01
本篇文章主要介紹了SpringMVC集成Swagger實例代碼，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-04-04
java插件十分方便實用，以下是我用過不錯的Intellij插件，當然還有很多插件也都不錯，下面將我覺得不錯的插件分享給大家，希望能幫到大家2018-09-09
這篇文章主要給大家介紹了關(guān)于Java正則表達式matcher.group()用法的相關(guān)資料,最近在做一個項目,需要使用matcher.group()方法匹配出需要的內(nèi)容,文中給出了詳細的代碼示例,需要的朋友可以參考下2023-08-08
這篇文章主要為大家介紹了JAVA中簡單的for循環(huán)異常踩坑避雷詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步，早日升職加薪2022-07-07
關(guān)于String轉(zhuǎn)Json的幾種方式
這篇文章主要介紹了關(guān)于String轉(zhuǎn)Json的幾種方式,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2023-12-12
Groovy就是一種繼承了動態(tài)語言的優(yōu)良特性并運行在JVM上的編程語言，Groovy支持動態(tài)輸入，閉包，元編程，運算符重載等等語法，這篇文章主要介紹了springboot中使用groovy的相關(guān)知識,需要的朋友可以參考下2022-09-09
這篇文章主要介紹了如何java將m3u8格式轉(zhuǎn)成視頻文件，本文通過實例代碼給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值,需要的朋友可以參考下2020-03-03
這篇文章主要為大家詳細介紹了java如何利用PDFBox實現(xiàn)PDF文檔基本操作,例如創(chuàng)建PDF文檔、加載PDF文檔、獲取總頁數(shù)等,需要的小伙伴可以參考下2023-11-11