Есть Spring Boot проект, где используется Spring Security.
Процесс авторизации идет через сессию и при успешной авторизации приложение сохраняет в cookie
информацию.
Для /login
и /logout
я сделал доступ url-ов как permitAll
, а остальные url-ы расписал как authenticated.
Когда пользователь стучится в защищенные url-ы без авторизации пишет что работает anonymousUser.
При отладке видно что Spring Security если не получает запрос от авторизованного пользователя, то автоматом подставляет anonymousUser.
Как решение в Spring Security Configuration я выключил в http.build
анонимный доступ(anonymous.disable()
), но таким образом все мои url-ы, в том числе и /login
и /logout
попадают под 403 Forbidden
.
В чем дело и как можно решить проблему?
@Configuration
@EnableWebSecurity
public class SecurityConfiguration {
public static final String SESSION_ATTRIBUTE = "JSESSIONID";
@Bean
public SessionRegistry sessionRegistry() {
return new SessionRegistryImpl();
}
@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration authenticationConfiguration)
throws Exception {
return authenticationConfiguration.getAuthenticationManager();
}
@Bean
public WebSecurityCustomizer webSecurityCustomizer() {
return (web) -> web.ignoring()
.antMatchers("/v3/api-docs/**")
.antMatchers("configuration/**")
.antMatchers("/swagger*/**")
.antMatchers("/webjars/**")
.antMatchers("/swagger-ui/**");
}
@Bean
public CorsConfiguration corsConfiguration() {
CorsConfiguration corsConfiguration = new CorsConfiguration();
corsConfiguration.setAllowCredentials(true);
corsConfiguration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "OPTIONS"));
corsConfiguration.setAllowedOriginPatterns(List.of("*:[*]"));
corsConfiguration.setAllowedHeaders(List.of("*"));
corsConfiguration.setExposedHeaders(List.of("*"));
corsConfiguration.setMaxAge(1000L);
return corsConfiguration;
}
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.cors().configurationSource(cors -> corsConfiguration()).and()
.csrf().disable()
.anonymous().disable()
.httpBasic().disable()
.logout().invalidateHttpSession(true).deleteCookies(SESSION_ATTRIBUTE)
.and()
.authorizeRequests()
.antMatchers("/api/authentication/login", "/api/authentication/logout").permitAll()
.antMatchers("/api/file/*", "/api/report/*", "/api/user/information/*").authenticated();
return http.build();
}
}
build.gradle:
dependencies {
implementation group: 'org.springframework.boot', name: 'spring-boot-starter-web', version: '2.7.2'
implementation group: 'org.springframework.boot', name: 'spring-boot-starter-jdbc', version: '2.7.2'
implementation group: 'org.springframework.boot', name: 'spring-boot-starter-security', version: '2.7.2'
implementation group: 'org.springframework.boot', name: 'spring-boot-starter-validation', version: '2.7.2'
implementation group: 'com.microsoft.sqlserver', name: 'mssql-jdbc', version: '9.4.1.jre16'
implementation group: 'org.json', name: 'json', version: '20220320'
implementation group: 'org.springdoc', name: 'springdoc-openapi-ui', version: '1.6.10'
implementation group: 'javax.xml.bind', name: 'jaxb-api', version: '2.3.1'
compileOnly 'org.projectlombok:lombok:1.18.24'
annotationProcessor 'org.projectlombok:lombok:1.18.24'
}