默认情况下如何拒绝访问所有URL？

Question

在定义新的Spring引导REST资源时，我倾向于忘记为其url模式创建spring安全配置。

默认情况下，如何拒绝访问所有URL，并且只允许访问明确配置的URL模式？ （我使用.hasRole来允许访问）我想避免尽可能多的意外安全漏洞。

假设我有三个REST资源： /jobs ， /desks和/salary 。 我当前的代码可能如下所示：

http.authorizeRequests()

    .antMatchers(HttpMethod.GET, "/jobs")
    .hasRole("my_user")

    .antMatchers(HttpMethod.GET, "/desks")
    .hasRole("my_user");

但是目前，每个人都可以访问url /salary （因为它尚未配置）！

Answer 1

您可以默认拒绝所有请求： .anyRequest().denyAll()和使用.hasRole显式允许请求

Answer 2

Spring的基于表达式的访问控制有一个denyAll表达式，它总是计算为false 。

所以你可以做的是使用这个denyAll方法拒绝访问所有内容，然后允许通过hasRole访问某个URL：

http.authorizeRequests().antMatchers("/admin/**").access("hasRole('ADMIN')").antMatchers("/**").denyAll();

因此，例如，这将允许具有ADMIN访问权限的用户访问以/admin开头的任何页面。 然后它将拒绝访问所有其他页面。 注意，如果你把顺序很重要.antMatchers("/**").denyAll() 首先 ，它会拒绝所有访问，而忽略你的表达的其余部分。

或者，您可以对某个URL模式使用permitAll() ：

http.authorizeRequests().antMatchers("/users/**").permitAll().antMatchers("/**").denyAll();

请注意，您可能还需要允许访问某种登录方式，因此系统可以让某人使用特定角色登录，因此要将它们组合在一起，并允许每个人尝试登录，只有管理员用户才能访问管理页面并拒绝所有其他人，然后像：

http.authorizeRequests().antMatchers("/login").permitAll().antMatchers("/admin/**").access("hasRole('ADMIN')").antMatchers("/**").denyAll();

Answer 3

anyRequest().denyAll()默认拒绝所有请求， .hasRole拒绝显式允许请求