Spring 安全请求正文

Question

我正在使用带有弹簧安全性的弹簧靴

我有休息控制器

    @RequestMapping("/foo")
    public String foo(@RequestBody Foo foo) {
        return foo.getBar();
    }

我已经为这个端点添加了 Spring 安全性

.mvcMatchers("/foo").access("@securityChecker.check(#foo)")

现在我有了这个安全检查器

@Service
public class SecurityChecker {
    public boolean check(Foo foo) {
        return foo != null;
    }
}

问题是 Foo 总是为空。

我猜这是因为 Jackson 的过滤器在 Security one 之后。有没有办法在不将 HttpRequest 对象注入“检查”方法和解析请求正文的情况下获取请求正文对象？从请求的正文中解析 JSON 后，我可能希望进行安全检查。

这是我正在尝试做的快速示例： https://github.com/kedrigen/spring-security-request-body

Answer 1

你错过了@RequestBody (docs)：

@PostMapping("/foo") // has to be post mapping
public String foo(@RequestBody Foo foo) {
    return foo.getBar();
}

此注解用于通过HttpMessageConverter 读取请求正文并将其反序列化为对象。

你也少了@EnableWebSecurity：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter { ... }

但总的来说，问题是你不能简单地做你想做的事。

您期望在控制器中出现的foo 与安全和安全上下文无关，所以这个"@securityChecker.check(#foo)" 不起作用。

考虑熟悉Referring to Beans in Web Security Expressions 文档。

文档中的示例：

public class WebSecurity {
  public boolean check(Authentication authentication, HttpServletRequest request) {
       ...
  }
}


http
.authorizeRequests(authorize -> authorize
    .antMatchers("/user/**").access("@webSecurity.check(authentication,request)")
    ...
)

简而言之：这是可行的，因为 Spring 知道 authentication 和 request 是什么，并且它们存在于上下文中。但是foo 对 Spring 没有任何意义:)