带有角色的 url 的安全问题

Question

在扩展 WebSecurityConfigurerAdapter 的类中 我有这段代码可以通过 url 为不同的角色添加安全性。

    http.authorizeRequests().antMatchers(HttpMethod.GET, "/rest/setup/defaultpassword/**").hasRole("USER");
    http.authorizeRequests().antMatchers(HttpMethod.GET, "/rest/setup/commerces/**").hasRole("USER");
    http.authorizeRequests().antMatchers(HttpMethod.GET, "/rest/setup/tax").hasRole("USER");

    http.authorizeRequests().antMatchers("/rest/setup/tax").hasRole("ADMIN");
    http.authorizeRequests().antMatchers("/login").permitAll(); //
    http.authorizeRequests().antMatchers("/rest/**").authenticated();
    http.csrf().disable();
    http.exceptionHandling().authenticationEntryPoint(authenticationEntryPoint);

    http.formLogin().successHandler(authenticationSuccessHandler);
    http.formLogin().failureHandler(authenticationFailureHandler);
    http.logout().logoutUrl("/logout");
    http.logout().logoutSuccessUrl("/");

当我以用户角色登录时，我可以访问：/rest/setup/tax

当我以管理员身份登录时，我可以访问 /rest/setup/tax

http://localhost:8080/rest/setup/tax403（禁止）

我搜索只提供用户角色的获取和管理员角色的所有内容。

Answer 1

表 AUTHORITIES 将有两列，如用户名、权限和列权限中指定的角色应带有前缀 ROLE_ 例如。 ROLE_ADMIN & ROLE_USER。因此，您的代码应指定 hasRole("ROLE_USER") 和 hasRole("ROLE_ADMIN")

更新：

1. RoleVoter.java

https://github.com/spring-projects/spring-security/blob/master/core/src/main/java/org/springframework/security/access/vote/RoleVoter.java

1. 所以对于 ROLE_ 前缀的类似问题

Spring security added prefix "ROLE_" to all roles name?