如何在 Spring 安全 Java 配置中最好地组织 URL 授权

Question

我有一个声明了大量 URL 授权的应用程序。 大概有200多个。 根据 spring 安全文档的建议，我在 Java 配置中使用WebSecurityConfigurerAdapter配置了这些。 话虽如此，它们的数量如此之多，以至于很难在单个 class 中维护它们。

我提出了一个目前正在运行的解决方案，但它的维护水平仍然不够理想。 我想知道其他人是否遇到过这个问题以及您提出了什么解决方案。

当前解决方案：

由于 URL 太多，我将它们分成几个类，如下所示：

public class UrlConfig implements Customizer<ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry> {

   @Override
    public void customize(ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry requests) {
        buildUrlPartition().stream().forEachOrdered(config -> config.configure(requests));
    }

    SortedSet<UrlConfigSection> buildUrlPartition() {
        SortedSet<UrlConfigSection> urlPartition = new TreeSet<>();
        urlPartition.add(new CustomUrlsConfig());
        urlPartition.add(new DeleteUrlsConfig());
        urlPartition.add(new AddUrlsConfig());
        urlPartition.add(new EditUrlsConfig());
        urlPartition.add(new ListUrlsConfig());
        urlPartition.add(new CatchAllUrlsConfig());
        return urlPartition;
    }
}

这是将所有拆分的 URL 授权添加到SortedSet中，并且通过让那些 URL 类扩展抽象 class 来维护订单。 这个定制器在WebSecurityConfigurerAdapter中使用，如下所示：

public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.authorizeRequests(new UrlConfig())
            .formLogin()....
        ...
    }
}

保持顺序的抽象 class 是UrlConfigSection 。 该顺序被保留，以便在更具体something-something/something URL 路径之前，不会拾取更通用的 URL something-something/**路径。

public abstract class UrlConfigSection implements Comparable<UrlConfigSection> {

    public abstract Integer getOrder();

    public abstract void configure(ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry requests);

    public int compareTo(UrlConfigSection urlPartition) {
        return this.getOrder().compareTo(urlPartition.getOrder());
    }

    ... // implements the equals and hashcode methods. etc..
}

URL class 的示例如下：

public class CatchAllUrlsConfig extends UrlConfigSection {

    @Override
    public Integer getOrder() {
        return Integer.MAX_VALUE; // this is so that it's always sorted as the last "catch all" urls.
    }

    @Override
    public void configure(ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry requests) {
        requests.antMatchers("sample url...").hasAnyAuthority("SOMEROLE");
        ..... // more declarations
    }
}

这是所有的 URL 配置，请注意它将始终排在最后一个。 其他 URL 类将具有特定编号。

这目前一切正常，但是由于类的排序，这有一定的维护方面。 现在我需要跟踪数字以及将它们放在排序集中的位置。 有一个更好的方法吗？ 有没有人遇到过类似的问题，你是如何解决的？