Com Spring, o método de proteção recomendado é configurar o Spring Security para cuidar da autenticação e autorização.
Autenticação
Para a autenticação, há métodos prontos (JDBC, LDAP) ou você pode criar sua própria implementação.
Exemplo de autorização baseada em JDBC:
@Autowired
private DataSource dataSource;
@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
auth
.jdbcAuthentication()
.dataSource(dataSource)
.withDefaultSchema()
.withUser("user").password("password").roles("USER").and()
.withUser("admin").password("password").roles("USER", "ADMIN");
}
Autorização
Para a autorização, você pode proteger por URL ou método. Na verdade, há outras possibilidades (como usar o paradigma de Orientação a Aspectos), mas as duas apresentadas aqui são as fundamentais.
Proteção por URL
Via código, é possível configurar o acesso por papel às diferentes URLs usando uma instância de HttpSecurity
. Exemplo:
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.anyRequest().authenticated()
.and()
.formLogin()
.and()
.httpBasic();
}
Exemplo mais complexo:
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/resources/**", "/signup", "/about").permitAll()
.antMatchers("/admin/**").hasRole("ADMIN")
.antMatchers("/db/**").access("hasRole('ROLE_ADMIN') and hasRole('ROLE_DBA')")
.anyRequest().authenticated()
.and()
// ...
.formLogin();
}
Via XML, existe a tag <intercept-url>
. Exemplo:
<http use-expressions="true">
<intercept-url pattern="/**" access="authenticated"/>
<intercept-url pattern="/admin*"
access="hasRole('admin') and hasIpAddress('192.168.1.0/24')"/>
<form-login />
<http-basic />
</http>
Proteção por método via anotação
É possível ativar autorizações via anotação nos beans do Spring com a seguinte configuração:
<global-method-security pre-post-annotations="enabled"/>
A anotação de segurança mais útil e comumente usada é a @PreAuthorize
, que verifica se o usuário realmente poderia estar executando aquele método.
Exemplo:
@PreAuthorize("hasRole('ROLE_USER')")
public void create(Contact contact);
Aqui a anotação foi incluída numa interface
, mas poderia estar também na classe concreta. Isso depende um pouco da arquitetura usada na sua aplicação.
Considerações
Os tópicos mencionados são apenas um resumo muito resumido do Spring Security. Existem vários outros pontos de extensão e customização que podem ser aproveitados dependendo do contexto.
Apenas espero que esta tenha sido uma introdução proveitosa.