Spring Security - controlla se l'URL web è protetto/protetto

Question

C'è un modo per "chiedere" sicurezza di primavera se la richiesta corrente è sicura? Perché anche se sono autenticato voglio rilevare se sono in un URL protetto sicuro o in una pagina anonima/pubblica

Grazie in anticipo!

Answer 1

Penso che sia possibile utilizzare la propria implementazione per AccessDecisionVoter quindi semplicemente sovrascrivere il metodo Vote e confrontare l'url di intercettazione utilizzando il metodo filterInvocation.getRequestUrl();.

@Override 
public int vote(Authentication authentication, FilterInvocation filterInvocation, 
    Collection<ConfigAttribute> attributes) { 
    String requestUrl = filterInvocation.getRequestUrl(); 
    .... 
} 

Answer 2

Possiamo contrassegnarlo come un canale sicuro convertito in https: // url.

<intercept-url pattern="/**" access="IS_AUTHENTICATED_FULLY" requires-channel="https" /> 

Possiamo quindi utilizzare request.getScheme() per identificarlo. Ho utilizzato org.springframework.security.version 3.1.4.RELEASE

Answer 3

Spring Security fornisce JSP tag support per questo. Per esempio:

<sec:authorize url="/admin"> 

This content will only be visible to users who are authorized to access the "/admin" URL. 

</sec:authorize> 

Thymeleaf fornisce una sicurezza Dialetto primavera che ha il supporto diretto per checking URL authorization con Primavera di sicurezza. Per esempio:

<div sec:authorize-url="/admin"> 
    This will only be displayed if authenticated user can call the "/admin" URL. 
</div> 

Se la tecnologia non supporta l'esecuzione direttamente l'assegno, si può facilmente utilizzare il WebInvocationPrivilegeEvaluator (questo è l'oggetto che il taglib JSP e l'uso Thymeleaf). Ad esempio, è possibile @Autowire un'istanza di WebInvocationPrivilegeEvaluator e utilizzarlo direttamente. Ovviamente la sintassi varia a seconda di dove la si utilizza (ad esempio GSP, Freemarker, ecc.), Ma qui c'è un esempio in codice Java diretto.

@Autowired 
WebInvocationPrivilegeEvaluator webPrivs; 

public void useIt() { 
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); 

    boolean hasAdminAccess = webPrivs.isAllowed("/admin", authentication); 

    boolean hasAdminPostAccess = webPrivs.isAllowed(null, "/admin", "POST", authentication); 
}