3

Estou a desenvolver uma API REST baseada no Spring Boot (spring-boot-starter-web) onde utilizo o Spring Security (spring-security-core e spring-security-config) para configurar a proteção dos diferentes endpoints.

A autenticação é feita com base numa base de dados local onde estão registados os utilizadores com dois tipos de roles diferentes: ADMIN e USER. Os USER devem conseguir fazer GET a todos os pontos da API e POST aos endpoints com base em routeA. Os ADMIN devem conseguir fazer o mesmo que os USER e ainda fazer POST e DELETE aos endpoints com base em routeB.

Porém o comportamento que eu estou a ter é que consigo fazer GET a qualquer endpoint mas POST resulta em HTTP 403 Forbidden quer com utilizadores que tenham o role ADMIN quer USER, que não é o esperado com base na minha SecurityConfiguration.

Alguma ideia do que me esteja a escapar?


SecurityConfiguration.java

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    private static final Logger logger = LoggerFactory.getLogger(SecurityConfiguration.class);

    @Autowired
    private RESTAuthenticationEntryPoint authenticationEntryPoint;

    @Autowired
    private DataSource dataSource;

    @Override
    public void configure(AuthenticationManagerBuilder builder) throws Exception {
        logger.info("Using database as the authentication provider.");
        builder.jdbcAuthentication().dataSource(dataSource).passwordEncoder(new BCryptPasswordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().
            authorizeRequests().antMatchers(HttpMethod.GET, "/**").hasAnyRole("ADMIN", "USER")
                               .antMatchers(HttpMethod.POST, "/routeA/*").hasAnyRole("ADMIN", "USER")
                               .antMatchers(HttpMethod.POST, "/routeB/*").hasRole("ADMIN")
                               .antMatchers(HttpMethod.DELETE, "/routeB/*").hasRole("ADMIN").and().
            requestCache().requestCache(new NullRequestCache()).and().
            httpBasic().authenticationEntryPoint(authenticationEntryPoint).and().
            cors();
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        final CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("*"));
        configuration.setAllowedMethods(Arrays.asList("HEAD", "GET", "POST", "PUT", "DELETE", "PATCH"));
        configuration.setAllowCredentials(true);
        configuration.setAllowedHeaders(Arrays.asList("Authorization", "Cache-Control", "Content-Type"));
        final UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }

RouteBController .java

@RestController
public class RouteBController {

    static final Logger logger = LoggerFactory.getLogger(RouteBController.class);

    public RouteBController() { }

    @RequestMapping(value = "routeB", produces = MediaType.APPLICATION_JSON_UTF8_VALUE, method = RequestMethod.GET)
    public String getStuff() {
        return "Got a hello world!";
    }

    @RequestMapping(value = "routeB", produces = MediaType.APPLICATION_JSON_UTF8_VALUE, method = RequestMethod.POST)
    public String postStuff() {
        return "Posted a hello world!";
    }

}

RESTAuthenticationEntryPoint.java

@Component
public class RESTAuthenticationEntryPoint extends BasicAuthenticationEntryPoint {

    @Override
    public void afterPropertiesSet() throws Exception {
        setRealmName("AppNameHere");
        super.afterPropertiesSet();
    }
}
6
  • 1
    Experimente desabilitar o CSRF. Commented 25/06/2018 às 15:38
  • Obrigado @StatelessDev, isso realmente fez com que já não fosse retornado 403! Qualquer das formas tanto o utilizador USER como ADMIN agora conseguem fazer POST. Alguma ideia? Commented 25/06/2018 às 16:02
  • Mas isso é suposto por sua aplicação, correto? Ou você se refere à rota B? Commented 25/06/2018 às 16:50
  • Para a RouteA ambos devem conseguir fazer POST, já para a RouteB só utilizadores com papel de administrador é que devem conseguir Commented 26/06/2018 às 8:40
  • O problema era a expressão que eu estava a usar no antmatcher(HttpMethod, String) que devia de ser /routeB/** em vez de /routeB/*. @StatelessDev por favor responda à pergunta para poder marcar a sua ajuda como resposta :) Commented 26/06/2018 às 9:19

1 Resposta 1

1

Você deve desabilitar o CSRF:

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        // ...
        .csrf().disable();
}

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .