ROLE_USER 和 ADMIN 对 URL 的访问限制

Question

我有

/welcome/employees - 员工名单

/welcome/employees/edit/ - 编辑员工

/welcome/employees/find/ - 查找员工

我想定义ADMIN 来访问所有内容，但USER 只是为了查看列表和查找。

我应该如何进行相应的配置。

   @Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/welcome", "/welcome/employees", "/welcome/employee/find").access("hasRole('ROLE_USER')")
        .antMatchers("/welcome/**").access("hasRole('ROLE_ADMIN')")
        .and()
            .formLogin().loginPage("/login")
            .defaultSuccessUrl("/welcome")
            .failureUrl("/login?error")
            .usernameParameter("username").passwordParameter("password")                
        .and()
            .logout().logoutSuccessUrl("/login?logout"); 
    
}

Answer 1

如果您不指定 ROLE 来访问每个经过身份验证的用户都可以访问该 url。你可以这样试试。

@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
    .antMatchers("/welcome/employees/edit/**").access("hasRole('ROLE_ADMIN')")
    .anyRequest().fullyAuthenticated()
    // part of your config
}

如果USER 尝试访问/welcome/employees/edit/ 将得到 403 错误。但是ADMIN 可以使用此配置访问每个 url。因为如果您不指定访问角色，每个人都可以访问该网址。但除了edit 页面，每个用户都可以在登录后访问every url。不要忘记这一点。