No meu sistema as ROLES das urls das telas são carregadas dinamicamente do banco de dados através de um ObjectPOstProcessor
como vocês podem ver abaixo:
public void configProducao(HttpSecurity http) throws Exception {
AffirmativeBased affirmativeBased = new AffirmativeBased(Arrays.asList(new RoleVoter(), new WebExpressionVoter()));
http
.csrf().disable()
.authorizeRequests()
.accessDecisionManager(affirmativeBased)
.antMatchers("/backend/ui/", "/backend/ui/auth/**", "/resource/**").permitAll()
.anyRequest().authenticated()
.withObjectPostProcessor(new ObjectPostProcessor<FilterSecurityInterceptor>() {
@Override
public <O extends FilterSecurityInterceptor> O postProcess (O fsi) {
fsi.setSecurityMetadataSource(dynamicSecurityMetadataSource);
return fsi;
}
})
.and()
.formLogin()
.loginPage("/backend/ui/")
.permitAll()
.and()
.logout()
.invalidateHttpSession(true)
.clearAuthentication(true)
.logoutRequestMatcher(new AntPathRequestMatcher("/backend/ui/logout/"))
.logoutSuccessUrl("/backend/ui/")
.permitAll();
}
E ele faz a verificação através de uma classe que implementa FilterInvocationSecurityMetadataSource
@Component
public class DynamicSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {
@Autowired
private TelaRepository telaRepository;
@Autowired
private PerfilRepository perfilRepository;
private static final FogasTracer tracer = new FogasTracer(DynamicSecurityMetadataSource.class);
@Override
public Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException {
final HttpServletRequest request = ((FilterInvocation) object).getRequest();
String url = request.getRequestURI();
url = url.replace("/backend/ui", "");
Optional<String> urlEncontrada = telaRepository.getUrlTela(url);
tracer.info(urlEncontrada);
if (urlEncontrada.isPresent()) {
Set<String> rolesDaTela = perfilRepository.getPerfisQueTemAcessoTela(urlEncontrada.get());
Collection<ConfigAttribute> attributes = new HashSet<>();
for (String role : rolesDaTela) {
tracer.info(role);
attributes.add(new SecurityConfig(role));
}
return attributes;
}
return null;
}
@Override
public Collection<ConfigAttribute> getAllConfigAttributes() {
// TODO Auto-generated method stub
return null;
}
@Override
public boolean supports(Class<?> clazz) {
return FilterInvocation.class.isAssignableFrom(clazz);
}
}
como vocês podem ver no método getAttributes()
eu já consigo buscar as url e restringir pela ROLE
do banco, o meu problema é que quando um usuário tenta acessar uma url sem ter a role necessária o spring me joga para uma página de erro padrão (/error
), sendo que eu gostaria de redirecionar o usuário para uma página de acesso negado que eu já tenho implementada. Como eu consigo fazer a verificação de quando o usuário tentou acessar uma página a qual ele não tem acesso?