我可以使用 Spring Security @PreAuthorize 来检查 HTTP 标头吗？

Question

我有一个用 Spring 编写的带有 Spring Security 的 REST API 和带有 Web Started 包的 Spring Boot。我的一些方法检查 JWT 令牌：

@RequestMapping(value = "/list",
        method = GET,
        produces = APPLICATION_JSON_VALUE)
public HttpEntity<List<Item>> list(@RequestHeader(name = TOKEN_HEADER) String token) {
    // validate token
    // do something
}

是否可以将令牌检查移至将通过@PreAuthorize 注释调用的方法？比如：

@RequestMapping(value = "/list",
        method = GET,
        produces = APPLICATION_JSON_VALUE)
@PreAuthorize("myMethod(headers)")
public HttpEntity<List<Item>> list(@RequestHeader(name = TOKEN_HEADER) String token) {
    // do something
}

void myMethod(HttpHeaders headers) {
    // validate token
}

令牌包含有关特定用户可以访问的资源的一些信息。如果令牌不包含用户请求的资源或底层数据层中的数据表明用户无权访问它，我将返回 HTTP 403。

Answer 1

您正在尝试将身份验证和授权委托给控制器，这不是一个好主意。

处理headers上token的方法是实现一个过滤器，通过token封装认证和授权，并将登录的用户和用户角色放入会话中。

然后预授权注解根据需要检查上下文。

您可以查看https://jwt.io/ 了解令牌流程。