5

Eu gostaria de saber como eu poderia tratar a segurança de uma aplicação stateless REST com o Spring.

Imagine que nenhum usuário possa acessar qualquer conteúdo de /app/content se não tiver identificado primeiramente. Existe como fazer isso sem precisar também fazer o tratamento em todos os métodos?

1 Resposta 1

8

Com Spring, o método de proteção recomendado é configurar o Spring Security para cuidar da autenticação e autorização.

Autenticação

Para a autenticação, há métodos prontos (JDBC, LDAP) ou você pode criar sua própria implementação.

Exemplo de autorização baseada em JDBC:

@Autowired
private DataSource dataSource;

@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
    auth
        .jdbcAuthentication()
            .dataSource(dataSource)
            .withDefaultSchema()
            .withUser("user").password("password").roles("USER").and()
            .withUser("admin").password("password").roles("USER", "ADMIN");
}

Autorização

Para a autorização, você pode proteger por URL ou método. Na verdade, há outras possibilidades (como usar o paradigma de Orientação a Aspectos), mas as duas apresentadas aqui são as fundamentais.

Proteção por URL

Via código, é possível configurar o acesso por papel às diferentes URLs usando uma instância de HttpSecurity. Exemplo:

protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .and()
        .httpBasic();
}

Exemplo mais complexo:

protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()                                                                
            .antMatchers("/resources/**", "/signup", "/about").permitAll()                  
            .antMatchers("/admin/**").hasRole("ADMIN")                                      
            .antMatchers("/db/**").access("hasRole('ROLE_ADMIN') and hasRole('ROLE_DBA')")  
            .anyRequest().authenticated()                                                   
            .and()
        // ...
        .formLogin();
}

Via XML, existe a tag <intercept-url>. Exemplo:

<http use-expressions="true">
    <intercept-url pattern="/**" access="authenticated"/>
    <intercept-url pattern="/admin*"
        access="hasRole('admin') and hasIpAddress('192.168.1.0/24')"/>
    <form-login />
    <http-basic />
</http>

Proteção por método via anotação

É possível ativar autorizações via anotação nos beans do Spring com a seguinte configuração:

<global-method-security pre-post-annotations="enabled"/>

A anotação de segurança mais útil e comumente usada é a @PreAuthorize, que verifica se o usuário realmente poderia estar executando aquele método.

Exemplo:

@PreAuthorize("hasRole('ROLE_USER')")
public void create(Contact contact);

Aqui a anotação foi incluída numa interface, mas poderia estar também na classe concreta. Isso depende um pouco da arquitetura usada na sua aplicação.

Considerações

Os tópicos mencionados são apenas um resumo muito resumido do Spring Security. Existem vários outros pontos de extensão e customização que podem ser aproveitados dependendo do contexto.

Apenas espero que esta tenha sido uma introdução proveitosa.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .