@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/api/public/**").permitAll() // 公開API
                .requestMatchers("/api/**").authenticated()   // 其他API需要認(rèn)證
                .anyRequest().permitAll() // <<-- 問題所在！
            )
            .formLogin(Customizer.withDefaults());
        return http.build();
    }
}

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                // 明確放行公開API和登錄頁等
                .requestMatchers("/api/public/**", "/login").permitAll() 
                // 明確放行公開的靜態(tài)資源
                .requestMatchers("/css/**", "/js/**", "/images/logo.png").permitAll() 
                // 其他所有請求，包括所有未指定的靜態(tài)資源，都需要認(rèn)證
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults());
        return http.build();
    }
}

@RestController
@RequestMapping("/files")
public class PrivateFileController {

    // 假設(shè)私有文件存儲在項目根目錄的 'private-uploads' 文件夾下
    private static final String PRIVATE_STORAGE_PATH = "private-uploads/";

    @GetMapping("/{filename:.+}")
    public ResponseEntity<Resource> serveFile(@PathVariable String filename) {
        // 1. 獲取當(dāng)前登錄用戶信息
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        String currentUsername = authentication.getName();

        // 2. 實現(xiàn)你的核心業(yè)務(wù)邏輯
        //    例如：從數(shù)據(jù)庫查詢文件元信息，判斷當(dāng)前用戶是否有權(quán)訪問該文件
        if (!hasPermission(currentUsername, filename)) {
            // 如果無權(quán)訪問，可以返回403 Forbidden
            return ResponseEntity.status(HttpStatus.FORBIDDEN).build();
        }

        try {
            // 3. 加載文件資源
            Path file = Paths.get(PRIVATE_STORAGE_PATH).resolve(filename);
            Resource resource = new UrlResource(file.toUri());

            if (resource.exists() || resource.isReadable()) {
                // 4. 設(shè)置響應(yīng)頭，讓瀏覽器能正確處理文件
                return ResponseEntity.ok()
                        .header(HttpHeaders.CONTENT_DISPOSITION, "attachment; filename="" + resource.getFilename() + """)
                        .body(resource);
            } else {
                // 文件不存在或無法讀取
                return ResponseEntity.notFound().build();
            }
        } catch (MalformedURLException e) {
            return ResponseEntity.internalServerError().build();
        }
    }

    /**
     * 偽代碼：檢查用戶權(quán)限
     * @param username 用戶名
     * @param filename 文件名
     * @return 是否有權(quán)限
     */
    private boolean hasPermission(String username, String filename) {
        // 在這里實現(xiàn)你的復(fù)雜邏輯
        // 比如：
        // 1. 從數(shù)據(jù)庫查詢文件名對應(yīng)的文件信息，包含所有者ID。
        // 2. 查詢當(dāng)前用戶名對應(yīng)的用戶ID。
        // 3. 對比兩者是否一致，或者用戶是否具有特定角色（如管理員）。
        System.out.println("Checking permission for user '" + username + "' on file '" + filename + "'");
        // 示例：簡單地假設(shè)只有admin用戶可以下載所有文件
        return "admin".equals(username);
    }
}

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

    @Autowired
    private StaticResourceAuthInterceptor staticResourceAuthInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        // 攔截所有對 /uploads/ 路徑下資源的請求
        registry.addInterceptor(staticResourceAuthInterceptor)
                .addPathPatterns("/uploads/**");
    }
}

@Component
public class StaticResourceAuthInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
            throws Exception {
        // 1. 獲取用戶信息
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication == null || !authentication.isAuthenticated() || authentication instanceof AnonymousAuthenticationToken) {
            // 用戶未登錄，重定向到登錄頁或返回401
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            return false;
        }
        String currentUsername = authentication.getName();

        // 2. 從請求路徑中解析出文件名
        String requestURI = request.getRequestURI(); // e.g., /uploads/private-file.txt
        String filename = requestURI.substring(requestURI.lastIndexOf("/") + 1);

        // 3. 執(zhí)行權(quán)限檢查
        if (!hasPermission(currentUsername, filename)) {
            // 無權(quán)限，返回403
            response.setStatus(HttpServletResponse.SC_FORBIDDEN);
            return false;
        }

        // 4. 有權(quán)限，放行
        // preHandle返回true后，請求會繼續(xù)流轉(zhuǎn)到Spring默認(rèn)的ResourceHttpRequestHandler，
        // 由它來完成靜態(tài)文件的讀取和響應(yīng)。
        return true;
    }

    /**
     * 偽代碼：權(quán)限檢查邏輯（同方案二）
     */
    private boolean hasPermission(String username, String filename) {
        System.out.println("Interceptor is checking permission for user '" + username + "' on file '" + filename + "'");
        return "admin".equals(username);
    }
}