Spring Security permitAll()不允许匿名访问的操作

更新时间：2021年06月22日 11:03:13 作者：java牛牛c

这篇文章主要介绍了Spring Security permitAll()不允许匿名访问的操作，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教

Spring Security permitAll()不允许匿名访问

修改前

 http
        .addFilterBefore(muiltpartFilter, ChannelProcessingFilter.class)
        .addFilterBefore(cf, ChannelProcessingFilter.class)
        .authorizeRequests()
            .anyRequest()
            .authenticated()
            .and()
        .authorizeRequests()
            .antMatchers("/ping**")
            .permitAll()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .logoutUrl("/logout")
        .logoutSuccessUrl("/login");

修改后

 http
        .addFilterBefore(muiltpartFilter, ChannelProcessingFilter.class)
        .addFilterBefore(cf, ChannelProcessingFilter.class)
        .authorizeRequests()
            .antMatchers("/ping**")
            .permitAll()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .authorizeRequests()
            .anyRequest()
            .authenticated()
            .and()
        .logout()
            .logoutUrl("/logout")
        .logoutSuccessUrl("/login");

permitAll() 顺序很重要，如同在 XML 配置中，即把 authorizeRequests().anyRequest().authenticate 放到最后

Spring Security @PreAuthorize 拦截无效

1. 在使用spring security的时候使用注解

@PreAuthorize("hasAnyRole('ROLE_Admin')")

放在对方法的访问权限进行控制失效，其中配置如：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter { 
    @Autowired
    UserDetailsService userDetailsService;
 
    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
 
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
    }
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/res/**", "/login/login*").permitAll()
            .anyRequest().authenticated()
            .and().formLogin().loginPage("/login/login").defaultSuccessUrl("/")
                .passwordParameter("password")
                .usernameParameter("username")
            .and().logout().logoutSuccessUrl("/login/login");
    }
}

Controller中的方法如下：

@Controller
@RequestMapping("/demo")
public class DemoController extends CommonController{
    @Autowired
    private UserService userService;
 
    @PreAuthorize("hasAnyRole('ROLE_Admin')")
    @RequestMapping(value = "user-list")
    public void userList() {
         
    }
}

使用一个没有ROLE_Admin权限的用户去访问此方法发现无效。

修改一下 SecurityConfig：

　 @Override
   protected void configure(HttpSecurity http) throws Exception {
       http.csrf().disable()
           .authorizeRequests()
           .antMatchers("/res/**", "/login/login*").permitAll()
           .antMatchers("/demo/user-list").access("hasRole('ROLE_Admin')")
           .anyRequest().authenticated()
           .and().formLogin().loginPage("/login/login").defaultSuccessUrl("/")
               .passwordParameter("password")
               .usernameParameter("username")
           .and().logout().logoutSuccessUrl("/login/login");
   }

添加上：

.antMatchers("/demo/user-list").access("hasRole('ROLE_Admin')")

可以被正常拦截，说明是方法拦截没有生效。

如果是基于xml，则需要在配置文件中加上：

<security:global-method-security pre-post-annotations="enabled" proxy-target-class="true" />

换成Annotation方式以后，则需要使用 @EnableGlobalMethodSecurity(prePostEnabled=true) 注解来开启。

并且需要提供以下方法：

@Bean
@Override
public AuthenticationManager authenticationManagerBean() throws Exception {
　　return super.authenticationManagerBean();
}

才可正常拦截。

以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。

您可能感兴趣的文章:

用java实现斗地主发牌过程
这篇文章主要为大家详细介绍了用java实现斗地主发牌过程，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
2020-11-11
SpringBoot之核心依赖和自动配置方式
这篇文章主要介绍了SpringBoot之核心依赖和自动配置方式，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教
2023-06-06
java实现图片任意角度旋转
这篇文章主要为大家详细介绍了java实现图片任意角度旋转，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
2019-04-04
Java全面讲解顺序表与链表的使用
大家好，今天给大家带来的是顺序表和链表，我觉得顺序表还是有比较难理解的地方的，于是我就把这一块的内容全部整理到了一起，希望能够给刚刚进行学习数据结构的人带来一些帮助，或者是已经学过这块的朋友们带来更深的理解，我们现在就开始吧
2022-05-05
java8 stream中Collectors.toMap空指针问题及解决
这篇文章主要介绍了java8 stream中Collectors.toMap空指针问题及解决方案，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教
2022-05-05
Java的几个重要版本_动力节点Java学院整理
jdk8 将在2014年3月份发布,迄今为止，可能是最大更新的java版本，也是令人期待的一个版本，在Java中引入闭包概念对Java程序开发方法的影响甚至会大于Java5中引入的泛型特征对编程方式带来的影响
2017-06-06
Java解析调用webservice服务的返回XML串详解
这篇文章主要介绍了Java解析调用webservice服务的返回XML串详解的相关资料,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
2019-07-07
浅谈SpringCloud之Ribbon详解
这篇文章主要介绍了浅谈SpringCloud之Ribbon,文中有非常详细的代码示例,对正在学习SpringCloud的小伙伴们有很大的帮助,需要的朋友可以参考下
2021-05-05
javaweb实现投票系统
这篇文章主要为大家详细介绍了javaweb实现投票系统，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
2022-09-09
Spring ComponentScan的扫描过程解析
这篇文章主要介绍了spring ComponentScan的扫描过程解析，本文通过实例代码给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值,需要的朋友可以参考下
2022-03-03