如何隔离多个控制器的认证机制

Question

我有一个 Web 应用程序，它具有集成到 UI 的控制器的端点，以及通过 REST 控制器公开的另一组端点。 UI Controller 通过 SSO 进行身份验证，而 Rest Controller 端点通过基本身份验证。由于 UI 控制器端点属于请求映射 (/) 而其余控制器端点属于 "/non-ui/" ，我如何防止任何对 ui 具有 sso 访问权限的人访问 "/non-ui" 端点？

基本上我想在“/non-ui/”端点上禁用 spring 安全性。

我已经使用下面的网络安全配置来排除。但是，这意味着任何对 ui ("/") 具有 sso 访问权限的人都可以访问 "/non-ui/**"。

public void configure(WebSecurity webSecurity) {
        webSecurity.ignoring().antMatchers("/non-ui/**");
    }

如果我使用以下建议，尽管它会拒绝任何有权访问 ui 的人访问“/non-ui/”端点。但是，如果有人尝试通过第三方服务访问“/non-ui/”端点，它也会受到干扰，因为无论如何请求只会在提到denyAll的地方登陆应用程序。

.authorizeRequests()
                    .antMatchers("/non-ui/**")
                    .denyAll()

Answer 1

您可以配置 2 个WebSecurityConfigurerAdapter，哪个 UI 和 REST 控制器有自己的WebSecurityConfigurerAdapter。每个WebSecurityConfigurerAdapter 代表一个SecurityFilterChain。

当有多个SecurityFilterChain时，会按照优先级顺序逐一检查SecurityFilterChain，第一个匹配的将用于处理请求。所以排序很重要，你应该配置具有更具体 URL 模式的SecurityFilterChain 比具有更通用 URL 模式的具有更高的优先级。否则，具有更通用 URL 模式的将始终首先匹配，并忽略具有更具体 URL 模式的那个。就像我们在Java中捕获异常时，我们应该先捕获更具体的异常。

因此，在您的情况下，其余控制器（即 /non-ui）比 UI 控制器（即 /）具有更具体的 URL 模式，它应该具有更高的优先级：

@Configuration
@Order(Ordered.HIGHEST_PRECEDENCE)
public class RestApiSecurity extends WebSecurityConfigurerAdapter{

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/non-ui/**");
            //continue configure http ......
        }

}

UI 控制器的优先级应该较低。还需要拒绝它访问 /non-ui ：

@Configuration
@Order(Ordered.LOWEST_PRECEDENCE)
public class UiSecurity extends WebSecurityConfigurerAdapter{

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/**"); // Or you can ignore it as it will match everything by default
                .authorizeRequests()
                    .antMatchers("/non-ui/**").denyAll();

            //continue configure http ......
        }

}