根据角色禁用 swagger-ui

Question

我知道swagger-ui 可以在spring-boot 应用程序上使用@Profile 完全禁用，但我仍然希望某些特权用户能够访问swagger-ui 而不是完全禁用。

有没有办法做到这一点。

更新：

目前我正在使用interceptor 方法，但我不想要这种方法。

    @Override
public boolean preHandle(HttpServletRequest request,
        HttpServletResponse response, Object handler) throws Exception {       
    if(request.getRequestURI().contains("swagger") && 
            !request.isUserInRole("XX_YY_ZZ")) {                   

        response.sendError(403, "You are not authorized to access ");            }  
    return super.preHandle(request, response, handler);
}

Answer 1

没有您使用的版本或代码，很难提供帮助。但我会尽力而为。

当您使用 swagger-ui 时，您有一个公开的 URL 来访问您的文档（通常是 /swagger-ui.html）。 您正在使用spring-boot，并且正在谈论用户限制，所以我假设您可以使用spring-boot-starter-security。 使用spring-boot-starter-security，您可以轻松配置要保护的 URL（例如关于用户角色）。

这是一个有效的示例配置：

@Configuration
@EnableWebSecurity
public class WebSecurity extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // the rest of your configuration
        http.authorizeRequests().mvcMatchers("/swagger-ui.html").hasRole("DEVELOPER")
}

您可以像使用控制器公开的任何 URL 一样保护 Swagger URL。

更多信息：

• 类似的问题： How to configure Spring Security to allow Swagger URL to be accessed without authentication
• Spring 安全配置： https://spring.io/guides/gs/securing-web/

我可以提供更多帮助：

• 安全配置摘录
• 您使用的 Spring-boot 版本

Answer 2

我建议添加一个拦截器，或者如果有的话，你可以在现有的拦截器中处理它。

在spring配置文件中：

<mvc:interceptors>
    <mvc:interceptor>
        <mvc:mapping path="/swager-url" />
        <ref bean="swagerInterceptor" />
    </mvc:interceptor>
</mvc:interceptors>

<bean id="swagerInterceptor" class="com.security.SwagerInterceptor">
    <property name="userService" ref="userService" />
</bean>

拦截器类可以这样写：

public class SwagerInterceptor extends HandlerInterceptorAdapter {

       @Override
public boolean preHandle(HttpServletRequest request,
        HttpServletResponse response, Object handler) throws Exception {
     //Take out user information from the request and validate
 }