zoukankan      html  css  js  c++  java
  • Spring Security @PreAuthorize 拦截无效

    1. 在使用spring security的时候使用注解,@PreAuthorize("hasAnyRole('ROLE_Admin')")

    放在对方法的访问权限进行控制失效,其中配置如:

    @Configuration
    @EnableWebSecurity
    public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
        @Autowired
        UserDetailsService userDetailsService;
    
    
        @Bean
        @Override
        public AuthenticationManager authenticationManagerBean() throws Exception {
            return super.authenticationManagerBean();
        }
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.userDetailsService(userDetailsService);
        }
    
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable()
                .authorizeRequests()
                .antMatchers("/res/**", "/login/login*").permitAll()
                .anyRequest().authenticated()
                .and().formLogin().loginPage("/login/login").defaultSuccessUrl("/")
                    .passwordParameter("password")
                    .usernameParameter("username")
                .and().logout().logoutSuccessUrl("/login/login");
        }
    }
    

      Controller中的方法如下:

    @Controller
    @RequestMapping("/demo")
    public class DemoController extends CommonController{
    
    
        @Autowired
        private UserService userService;
    
        @PreAuthorize("hasAnyRole('ROLE_Admin')")
        @RequestMapping(value = "user-list")
        public void userList() {
            
        }
    
    
    }
    

     

    使用一个没有ROLE_Admin权限的用户去访问此方法发现无效。

    修改一下:

     @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable()
                .authorizeRequests()
                .antMatchers("/res/**", "/login/login*").permitAll()
                .antMatchers("/demo/user-list").access("hasRole('ROLE_Admin')")
                .anyRequest().authenticated()
                .and().formLogin().loginPage("/login/login").defaultSuccessUrl("/")
                    .passwordParameter("password")
                    .usernameParameter("username")
                .and().logout().logoutSuccessUrl("/login/login");
        } 
    

      添加上:

    .antMatchers("/demo/user-list").access("hasRole('ROLE_Admin')")

    可以被正常拦截,说明是方法拦截没有生效。

    如果是基于xml,则需要在配置文件中加上:

    <security:global-method-security
    pre-post-annotations="enabled" proxy-target-class="true" />

    换成Annotation方式以后,则需要使用@EnableGlobalMethodSecurity(prePostEnabled=true)注解来开启。

    并且需要提供以下方法:

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
    return super.authenticationManagerBean();
    }

    至此可以正常拦截

  • 相关阅读:
    windows环境下生成ssh keys
    手写简易Ajax-结合Promise
    Microsoft 登陆微软账号一直加载不进去 解决方案整理
    win10如何开启卓越性能
    win10开启上帝模式
    解决网页禁止复制文字
    module 'sklearn' has no attribute 'svm'
    sklearn的SVM的decision_function_shape的ovo和ovr
    Can not squeeze dim[1], expected a dimension of 1
    python/numpy随机选取训练集/测试集索引
  • 原文地址:https://www.cnblogs.com/ranger2016/p/3914146.html
Copyright © 2011-2022 走看看