Estou a desenvolver uma API REST baseada no Spring Boot (spring-boot-starter-web
) onde utilizo o Spring Security (spring-security-core
e spring-security-config
) para configurar a proteção dos diferentes endpoints.
A autenticação é feita com base numa base de dados local onde estão registados os utilizadores com dois tipos de roles diferentes: ADMIN
e USER
. Os USER
devem conseguir fazer GET
a todos os pontos da API e POST
aos endpoints com base em routeA
. Os ADMIN
devem conseguir fazer o mesmo que os USER
e ainda fazer POST
e DELETE
aos endpoints com base em routeB
.
Porém o comportamento que eu estou a ter é que consigo fazer GET
a qualquer endpoint mas POST
resulta em HTTP 403 Forbidden
quer com utilizadores que tenham o role ADMIN
quer USER
, que não é o esperado com base na minha SecurityConfiguration
.
Alguma ideia do que me esteja a escapar?
SecurityConfiguration.java
@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
private static final Logger logger = LoggerFactory.getLogger(SecurityConfiguration.class);
@Autowired
private RESTAuthenticationEntryPoint authenticationEntryPoint;
@Autowired
private DataSource dataSource;
@Override
public void configure(AuthenticationManagerBuilder builder) throws Exception {
logger.info("Using database as the authentication provider.");
builder.jdbcAuthentication().dataSource(dataSource).passwordEncoder(new BCryptPasswordEncoder());
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().
authorizeRequests().antMatchers(HttpMethod.GET, "/**").hasAnyRole("ADMIN", "USER")
.antMatchers(HttpMethod.POST, "/routeA/*").hasAnyRole("ADMIN", "USER")
.antMatchers(HttpMethod.POST, "/routeB/*").hasRole("ADMIN")
.antMatchers(HttpMethod.DELETE, "/routeB/*").hasRole("ADMIN").and().
requestCache().requestCache(new NullRequestCache()).and().
httpBasic().authenticationEntryPoint(authenticationEntryPoint).and().
cors();
}
@Bean
public CorsConfigurationSource corsConfigurationSource() {
final CorsConfiguration configuration = new CorsConfiguration();
configuration.setAllowedOrigins(Arrays.asList("*"));
configuration.setAllowedMethods(Arrays.asList("HEAD", "GET", "POST", "PUT", "DELETE", "PATCH"));
configuration.setAllowCredentials(true);
configuration.setAllowedHeaders(Arrays.asList("Authorization", "Cache-Control", "Content-Type"));
final UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration("/**", configuration);
return source;
}
RouteBController .java
@RestController
public class RouteBController {
static final Logger logger = LoggerFactory.getLogger(RouteBController.class);
public RouteBController() { }
@RequestMapping(value = "routeB", produces = MediaType.APPLICATION_JSON_UTF8_VALUE, method = RequestMethod.GET)
public String getStuff() {
return "Got a hello world!";
}
@RequestMapping(value = "routeB", produces = MediaType.APPLICATION_JSON_UTF8_VALUE, method = RequestMethod.POST)
public String postStuff() {
return "Posted a hello world!";
}
}
RESTAuthenticationEntryPoint.java
@Component
public class RESTAuthenticationEntryPoint extends BasicAuthenticationEntryPoint {
@Override
public void afterPropertiesSet() throws Exception {
setRealmName("AppNameHere");
super.afterPropertiesSet();
}
}
403
! Qualquer das formas tanto o utilizadorUSER
comoADMIN
agora conseguem fazerPOST
. Alguma ideia?RouteA
ambos devem conseguir fazerPOST
, já para aRouteB
só utilizadores com papel de administrador é que devem conseguirantmatcher(HttpMethod, String)
que devia de ser/routeB/**
em vez de/routeB/*
. @StatelessDev por favor responda à pergunta para poder marcar a sua ajuda como resposta :)