여러 패턴에 대한 스프링 부트의 여러 WebSecurityConfigurerAdapter

여러 패턴에 대한 스프링 부트의 여러 WebSecurityConfigurerAdapter

1. 질문(문제점):

스프링 부트 액추에이터 API가 기본 인증을 사용하여 보호되고 다른 모든 엔드 포인트가 JWtAuthentication을 사용하여 인증되는 내 프로젝트에 대해 여러 WebsecurityConfigurerAdapter를 설정하려고합니다. 나는 그것을 함께 작동시킬 수 없으며 낮은 순서의 구성 만 작동합니다. Spring Boot 2.1.5.RELEASE를 사용하고 있습니다.

JWT Authenticator를 사용한 보안 구성 1

@Order(1)
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private static final String[] AUTH_WHITELIST = {
        "/docs/**",
        "/csrf/**",
        "/webjars/**",
        "/**swagger**/**",
        "/swagger-resources",
        "/swagger-resources/**",
        "/v2/api-docs"
};

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers(AUTH_WHITELIST).permitAll()
            .antMatchers("/abc/**", "/abc/pdf/**").hasAuthority("ABC")
            .antMatchers("/ddd/**").hasAuthority("DDD")
            .and()
            .csrf().disable()
            .oauth2ResourceServer().jwt().jwtAuthenticationConverter(new GrantedAuthoritiesExtractor());
   }
}

사용자 이름 / 비밀번호가있는 기본 인증 구성

@Order(2)
@Configuration
public class ActuatorSecurityConfig extends WebSecurityConfigurerAdapter {

/*    @Bean
public UserDetailsService userDetailsService(final PasswordEncoder encoder) {
    final InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
    manager.createUser(
            User
                    .withUsername("user1")
                    .password(encoder.encode("password"))
                    .roles("ADMIN")
                    .build()
    );
    return manager;
}

@Bean PasswordEncoder encoder(){
    return new BCryptPasswordEncoder();
}*/

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers("/actuator/**").hasRole("ADMIN")
            .and()
            .httpBasic();
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication().withUser("user1").password("password").authorities("ADMIN");
  }
}

나는 여러 날 동안 그것을 작동 시키려고 노력했지만 둘 다 함께 작동하도록 만들 수는 없습니다. 주문을 바꾸면 JWT Auth Manager가 아닌 기본 인증 만 작동합니다.

나는 SOF 질문을 많이 겪었습니다.

[ 스프링 부트 보안-다중 WebSecurityConfigurerAdapter

[ 스프링 부트에 여러 WebSecurityConfigurerAdapter가있는 문제

[ https://github.com/spring-projects/spring-security/issues/5593][1]

[ https://www.baeldung.com/spring-security-multiple-entry-points][1]

아무것도 작동하지 않는 것 같습니다. 이것은 Spring의 알려진 문제입니까?

2. 해결방안:

여러를 사용하려면을 사용 WebsecurityConfigurerAdapter하여 특정 URL 패턴으로 제한해야합니다 RequestMatcher.

귀하의 경우에 더 높은 우선 순위를 설정하고 ActuatorSecurityConfig액추에이터 엔드 포인트로만 제한 할 수 있습니다 .

@Order(-1)
@Configuration
public class ActuatorSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .requestMatchers().antMatchers("/actuator/**")
                .and()
                .authorizeRequests().anyRequest().hasRole("ADMIN")
                .and()
                .httpBasic();
    }
}

65871771