注册
登录
安全配置管理
Spring Security Session / XSRRF配置按路径
返回
Spring Security Session / XSRRF配置按路径
作者:
只怕再见是故人
发布时间:
2024-10-06 01:48:56 (11天前)
<p>我有一个使用Spring安全性进行身份验证的现有Web应用程序。它还使用会话管理来允许用户在预定义的时间段内登录，并使用XSRF令牌来防止XSS攻击。</p> <pre><code>@Override protected void configure(HttpSecurity http) throws Exception { // @formatter:off http .exceptionHandling() .authenticationEntryPoint(restEntryPoint()) .and() .headers().addHeaderWriter(new StaticHeadersWriter("Server","")) .and() .httpBasic() .authenticationEntryPoint(restEntryPoint()) .and() .logout().addLogoutHandler(myLogoutHandler()) .logoutSuccessHandler(logoutSuccessHandler()) .and() .authorizeRequests() .antMatchers("/index.html", "/login", "/").permitAll() .antMatchers(HttpMethod.OPTIONS).denyAll() .antMatchers(HttpMethod.HEAD).denyAll() .anyRequest().authenticated() .and() .authenticationProvider(myAuthenticationProvider) .csrf() .csrfTokenRepository(csrfTokenRepository()) .and() .addFilterAfter(csrfHeaderFilter(), SessionManagementFilter.class); // @formatter:on } </code></pre><p>这对于Web应用程序非常有用。但是，现在要求我添加一个配置，该配置将允许第三方客户端应用程序通过纯REST调用来调用我的服务，即它们应该是完全无状态的，并且使用http基本身份验证-不应创建任何会话，并且应禁用xsrf（认为…）。</p><p>我可以为所有这些客户端API调用定义一个共享的URL路径。但是，如何利用现有的安全配置和服务器来支持这两个要求？</p>
收藏
举报
2 条回复
1#
回复此人
春风助手
|
2020-08-06 17-10
回答我自己的问题... ``` Spring Security允许您基于订单使用多种配置。在文档中，它给出了以下示例： @EnableWebSecurity public class MultiHttpSecurityConfig { @Autowired public void configureGlobal(AuthenticationManagerBuilder auth) { 1 auth .inMemoryAuthentication() .withUser("user").password("password").roles("USER").and() .withUser("admin").password("password").roles("USER", "ADMIN"); } @Configuration @Order(1) 2 public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter { protected void configure(HttpSecurity http) throws Exception { http .antMatcher("/api/**") 3 .authorizeRequests() .anyRequest().hasRole("ADMIN") .and() .httpBasic(); } } @Configuration 4 public static class FormLoginWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .anyRequest().authenticated() .and() .formLogin(); } } } ``` 在上面的示例中，仅对ADMIN角色允许/ api，而其他路径将使用默认的FormLoginWebSecurityConfigurerAdapter配置。 在此URL上查看更多信息：http://docs.spring.io/autorepo/docs/spring-security/4.1.x/reference/htmlsingle/#multiple-httpsecurity
编辑
登录
后才能参与评论
