Spring Security nicht Fehler auslösen, wenn Autorisierungsheader nach dem Login mit AngularJS

Question

Ich folge Spring Security and Angular JS für HTTP-Basic-Authentifizierung, durch Hinzufügen Authorization-Header zu $ ​​HTTP-Header nicht vorhanden ist:

const headers = { 
    authorization: "Basic " + btoa(this.login + ":" + this.password) 
}; 

this._$http.get("user", 
    { 
     headers: headers, 
    }) 
    .then(
     this.showUser.bind(this), 
     this.showError.bind(this) 
    ); 

Innen showUser ich umleiten zu jobs Komponente mit $location:

this._$location.path("jobs"); 

Und innerhalb jobs Komponente, lade ich zur Verfügung stehenden Arbeitsplätze:

public $onInit() { 
    this._$http.get("jobs").then(function(response) { 
     this.jobs = response.data; 
    }.bind(this)); 
    this.authenticated = this._loginService.isLogged(); 
} 

Absichtlich ohne Autorisierung Header, zu beweisen, dass alles funktioniert. Ich dachte, es sollte durch Spring Security mit HTTP 401 Unauthorized oder so etwas aufgegeben werden, aber es funktionierte ohne Autorisierung Header. Wenn ich mich aus einem anderen Browserfenster abmelde und Jobs neu lade, ist es in Ordnung, Jobs werden nicht geladen. Aber ich denke (und ich hoffe) Autorisierungsdaten (HTTP Basic) sollten in jeder Anfrage vorhanden sein. Hier ist meine Sicherheitskonfiguration:

protected void configure(HttpSecurity http) throws Exception { 
    http 
     .formLogin() 
     .successHandler(
      new DifferentRoleBasedStartingURLsAuthenticationSuccessHandler() 
     ) 
     .and() 
     .logout() 
     .logoutUrl("/logout") 
     .and() 
     .httpBasic() 
     .and() 
     .authorizeRequests() 
     .antMatchers("/jobs/**").authenticated() 
     .antMatchers("/interviews/**").authenticated() 
     .anyRequest().permitAll() 
     .and() 
     .csrf() 
     .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) 
    ; 

Vielleicht habe ich hier einen Fehler gemacht. Ich denke, Regel .antMatchers("/jobs/**").authenticated() sollte jobs/ auch authentifiziert werden. Kannst du mir helfen? Vielen Dank im Voraus.

---

UPDATE 2016.07.31: Vielleicht mit kantiger Genehmigung Header werden nicht bei jeder Anfrage im Frühjahr benötigt? Mein Repo ist hier: Playground for Spring and Angular (AngularJS branch), Passwort ist test für jeden erstellten Benutzer.

Answer 1

Wenn Sie die Standardauthentifizierung verwenden, macht es nicht viel Sinn, die Formularanmeldung auch im Frühjahr zu konfigurieren. Bei Verwendung der Standardauthentifizierung muss der HTTP-Autorisierungsheader für jede Anforderung vorhanden sein, die eine Authentifizierung auf dem Server erfordert. Wenn für eine geschützte Ressource kein Autorisierungsheader vorhanden ist, gibt Spring eine 401-Antwort zurück.

Ihre Einrichtung sieht für mich korrekt aus (und ja, "/ jobs/**" stimmt mit "/ jobs" überein), aber Ihr Versuch, die Sicherheitseinschränkungen zu überprüfen, ist fehlgeschlagen, da der Server auch ein jsessionid-Cookie setzt das kann verwendet werden, um dich zu authentifizieren. Wenn Sie also eine geschützte Ressource ohne Autorisierungsheader aber mit einem gültigen jsessionid-Cookie anfordern, kann der Server Sie weiterhin authentifizieren.

Sie können Spring-Security mitteilen, nicht mit der HTTP-Sitzung zu interagieren, indem Sie die Sitzungserstellungsrichtlinie auf STATELESS setzen.

die folgende Sicherheitskonfiguration Versuchen:

protected void configure(HttpSecurity http) throws Exception { 
    http.httpBasic() 
      .and() 
      .authorizeRequests() 
      .antMatchers("/jobs/**").authenticated() 
      .antMatchers("/interviews/**").authenticated() 
      .anyRequest().permitAll() 
      .and() 
      .csrf() 
      .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) 
      .and() 
      .sessionManagement() 
      .sessionCreationPolicy(SessionCreationPolicy.STATELESS) 
      .and(); 
} 

Answer 2

Es ist aufgrund der Reihenfolge, die Sie die Sicherheit konfiguriert haben, Spring Security wendet die Regeln in der Reihenfolge an, in der sie erteilt wurde, dh Sie haben zunächst das Muster eingeschränkt und dann erneut mit .anyRequest().permitAll() geöffnet. Ich habe die Bestellung im folgenden Code festgelegt.