PreAuthorize funktioniert nicht auf Controller

Question

Ich versuche, Zugriffsregeln auf Methodenebene zu definieren, aber es funktioniert nicht, was auch immer.

SecurityConfiguration

@Configuration 
@EnableWebSecurity 
@EnableGlobalMethodSecurity(prePostEnabled = true) 
public class SecurityConfiguration extends WebSecurityConfigurerAdapter { 
    @Override 
    public void configure(AuthenticationManagerBuilder auth) throws Exception { 
     auth.inMemoryAuthentication(). 
       withUser("user").password("user").roles("USER").and(). 
       withUser("admin").password("admin").roles("ADMIN"); 
    } 
    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
       .sessionManagement() 
       .sessionCreationPolicy(SessionCreationPolicy.STATELESS) 
       .and() 
       .authorizeRequests() 
       .antMatchers("/v2/**").authenticated() 
       .and() 
       .httpBasic() 
       .realmName("Secure api") 
       .and() 
       .csrf() 
       .disable(); 
    } 
} 

ExampleController

@EnableAutoConfiguration 
@RestController 
@RequestMapping({"/v2/"}) 
public class ExampleController { 
    @PreAuthorize("hasAuthority('ROLE_ADMIN')") 
    @RequestMapping(value = "/home", method = RequestMethod.GET) 
    String home() { 
     return "Hello World"; 
    } 
} 

Immer wenn ich versuche/zuzugreifen v2/home user:user mit der Ausführung ganz gut, sollte es mir nicht einen Zugriff verweigert Fehler geben wegen ‚user 'nicht haben ROLE_ADMIN?

Ich denke eigentlich daran, Zugriffsregeln auf Methodenebene zu löschen und bei http() zu bleiben, aber ich muss wissen, warum es für mich nicht funktioniert.

Answer 1

Ein häufiges Problem bei der Verwendung von PrePost-Annotationen auf Controllern ist, dass die Spring-Methodensicherheit auf Spring AOP basiert, das standardmäßig mit JDK-Proxys implementiert wird.

Das bedeutet, dass es auf der Serviceschicht funktioniert, die als Schnittstelle in die Controllerschicht injiziert wird, aber auf der Controllerschicht ignoriert wird, da Controller im Allgemeinen keine Schnittstellen implementieren.

Das folgende ist nur meine Meinung:

• bevorzugte Art und Weise: die Pre Post Anmerkung
• , wenn Sie (nicht wollen oder), können nicht auf Service-Ebene verschieben versuchen, Ihren Controller eine Schnittstelle implementieren alle kommentierten Methoden
• als letzte Möglichkeit enthält, verwenden Proxy-Ziel-Klasse = true

Answer 2

ich hatte ein ähnliches Problem und t er folgende löste es:

1) Ich musste meine Methode öffentlich machen (d. h. machen Sie Ihre Methode nach Hause() public)

2) Ich habe hasRole zu verwenden, anstatt hasAuthority

Answer 3

Denn es macht auf Controller-Ebene arbeiten. Ich musste @EnableAspectJAutoProxy auf meine Konfigurationsklasse setzen. Beispiel:

@Configuration 
@EnableWebMvc 
@EnableAspectJAutoProxy 
@ComponentScan(basePackages = { "com.abc.fraud.ts.userservices.web.controller" }) 
public class WebConfig extends WebMvcConfigurerAdapter{ 

} 

Answer 4

Es gibt zwei verschiedene Wege, dies zu nutzen, ist ein Präfix und man ist es nicht. Und Sie vielleicht ändern @PreAuthorize("hasAuthority('ROLE_ADMIN')") zu @PreAuthorize("hasAuthority('ADMIN')") wird in Ordnung sein.

Als nächstes ist @PreAuthorize Quellcode.

private String defaultRolePrefix = "ROLE_"; 
public final boolean hasAuthority(String authority) { 
    return hasAnyAuthority(authority); 
} 

public final boolean hasAnyAuthority(String... authorities) { 
    return hasAnyAuthorityName(null, authorities); 
} 

public final boolean hasRole(String role) { 
    return hasAnyRole(role); 
} 

public final boolean hasAnyRole(String... roles) { 
    return hasAnyAuthorityName(defaultRolePrefix, roles); 
} 

Answer 5

Sie müssen hinzufügen "@EnableGlobalMethodSecurity (prePostEnabled = true)" in Ihrem WebSecurityConfig.

Sie können es hier finden: http://www.baeldung.com/spring-security-expressions-basic

@Configuration 
@EnableWebSecurity 
@EnableGlobalMethodSecurity(prePostEnabled = true) 
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {