SpringSecurity如何設(shè)置白名單策略
在SpringSecurity中,往往需要對部分接口白名單訪問,而大部分在使用Security中就有一個誤區(qū),那就是免鑒權(quán)訪問和白名單的區(qū)別。
大部分的Security文章包括官方文檔給出免鑒權(quán)訪問都是使用.permitAll()去對相應(yīng)路徑進(jìn)行免鑒權(quán)訪問,但實際上這僅僅只表示該資源不需要相應(yīng)的權(quán)限訪問，但是用戶還需要認(rèn)證.也就是Security的認(rèn)證/授權(quán)兩個概念.
Security白名單策略
將需要放行的白名單使用.ignoring注冊.
@Bean
public WebSecurityCustomizer ignoringCustomizer() {
return web -> web.ignoring().requestMatchers(whiteUrlArr);
}當(dāng)Spring啟動后，會將其中每個url注冊為一個MvcRequestMatcher并且放入到WebSecurity中的ignoredRequests管理。
然后在構(gòu)建WebSecurity時去創(chuàng)建對應(yīng)的DefaultSecurityFilterChain.
然后這些會被放入到Security的過濾鏈中交給WebSecurity進(jìn)行管理,當(dāng)有請求進(jìn)入后就會進(jìn)入到過濾鏈時，WebSecurity會去循環(huán)調(diào)用chian，以獲取處理請求路徑對應(yīng)的過濾器組成過濾鏈，如果未注冊ignor則會使用默認(rèn)的AnyRequest,這將返回全部的Security過濾器.
private List<Filter> getFilters(HttpServletRequest request) {
int count = 0;
Iterator var3 = this.filterChains.iterator();
SecurityFilterChain chain;
do {
if (!var3.hasNext()) {
return null;
}
chain = (SecurityFilterChain)var3.next();
if (logger.isTraceEnabled()) {
++count;
logger.trace(LogMessage.format("Trying to match request against %s (%d/%d)", chain, count, this.filterChains.size()));
}
} while(!chain.matches(request));
return chain.getFilters();
}
而DefaultSecurityChain則會使用其對應(yīng)的match對請求路徑進(jìn)行匹配,如果匹配上則返回相應(yīng)的過濾器.
匹配成功返回RequestMatchResult:
通過返回的對象是否為空進(jìn)行判斷是否匹配成功:
匹配成功后會返回其對應(yīng)的Filter,因為是通過igonr去進(jìn)行忽略的所以filter為空,所以就會忽略對對應(yīng)路徑請求的鑒權(quán)等操作.
這就是SpringSecurity真正的白名單，而不僅僅是對相應(yīng)路徑進(jìn)行免權(quán)訪問.
后續(xù)會嘗試去探索免權(quán)訪問...
到此這篇關(guān)于SpringSecurity如何正確的設(shè)置白名單的文章就介紹到這了,更多相關(guān)SpringSecurity白名單內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
使用mybatis-plus報錯Invalid bound statement (not found)錯誤
這篇文章主要介紹了使用mybatis-plus報錯Invalid bound statement (not found)錯誤，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-09-09
Java使用HttpClient實現(xiàn)圖片下載與本地保存功能
在當(dāng)今數(shù)字化時代,網(wǎng)絡(luò)資源的獲取與處理已成為軟件開發(fā)中的常見需求,其中,圖片作為網(wǎng)絡(luò)上最常見的資源之一,其下載與保存功能在許多應(yīng)用場景中都顯得尤為重要,本文將通過一個具體的Java實戰(zhàn)案例,詳細(xì)介紹如何使用Apache?HttpClient庫實現(xiàn)圖片的下載與本地保存功能2025-06-06
本篇文章主要介紹了SSM項目中配置LOG4J日志的方法，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-09-09
MyBatis實現(xiàn)動態(tài)SQL模糊查詢的示例代碼
在數(shù)據(jù)庫查詢中,模糊查詢是最常用的功能之一,今天我們來探討如何通過動態(tài)SQL實現(xiàn)靈活、安全的模糊查詢,文中的示例代碼講解詳細(xì),有需要的小伙伴可以了解下2026-02-02
這篇文章主要介紹了在idea中顯示springboot面板的方法方便啟動調(diào)試，本文通過代碼給大家介紹的非常詳細(xì)，對大家的學(xué)習(xí)或工作具有一定的參考借鑒價值,需要的朋友可以參考下2020-11-11
這篇文章主要介紹了Java實現(xiàn)url加密處理的方法,涉及java基于base64、編碼轉(zhuǎn)換實現(xiàn)加密解密相關(guān)操作技巧,需要的朋友可以參考下2017-06-06
這篇文章主要介紹了Java多線程中的Interrupt簡析,Interrupt 的其作用是"中斷"線程, 但實際上線程仍會繼續(xù)運行, 這是一個非常容易混淆的概念,Interrupt 的真正作用是給線程對象設(shè)置一個中斷標(biāo)記, 并不會影響線程的正常運行,需要的朋友可以參考下2023-09-09
springBoot打包的時候代碼和jar包打包在同一個jar包里面,會導(dǎo)致jar包非常龐大,下面這篇文章主要給大家介紹了關(guān)于SpringBoot打的jar包瘦身方法的相關(guān)資料,需要的朋友可以參考下2022-12-12
Spring Cache自定義緩存key和過期時間的實現(xiàn)代碼
使用 Redis的客戶端 Spring Cache時,會發(fā)現(xiàn)生成 key中會多出一個冒號,而且有一個空節(jié)點的存在,查看源碼可知,這是因為 Spring Cache默認(rèn)生成key的策略就是通過兩個冒號來拼接,本文給大家介紹了Spring Cache自定義緩存key和過期時間的實現(xiàn),需要的朋友可以參考下2024-05-05
MyBatis-Plus 從 3.5.4 版本開始支持流式查詢,通過ResultHandler接口實現(xiàn)結(jié)果集的流式查詢,文中通過示例代碼介紹的非常詳細(xì),對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2024-12-12