java - 限制读取访问的安全身份验证

Question

我使用 GitHub 中的示例项目创建了一个 Web 应用程序。但是，它需要对所有 crud 操作进行身份验证。我想限制所有读取数据库操作的安全检查。我需要做哪些改变？

这些是相关的类:

protected void configure(HttpSecurity http) throws Exception {
        http
                .cors()
                    .and()
                .csrf()
                    .disable()
                .exceptionHandling()
                    .authenticationEntryPoint(unauthorizedHandler)
                    .and()
                .sessionManagement()
                    .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                    .and()
                .authorizeRequests()
                    .antMatchers("/",
                        "/favicon.ico",
                        "/**/*.png",
                        "/**/*.gif",
                        "/**/*.svg",
                        "/**/*.jpg",
                        "/**/*.html",
                        "/**/*.css",
                        "/**/*.js")
                        .permitAll()
                    .antMatchers("/api/auth/**")
                        .permitAll()
                    .antMatchers("/api/user/checkUsernameAvailability", "/api/user/checkEmailAvailability")
                        .permitAll()
                    .antMatchers(HttpMethod.GET, "/api/polls/**", "/api/users/**")
                        .permitAll()
                    .anyRequest()
                        .authenticated();

        // Add our custom JWT security filter
        http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);

    }
}

Answer 1

据我所知，没有办法神奇地创建一个只读用户。但是，您可以创建一个角色，例如 ROLE_UPDATE 并使所有执行创建/更新/删除的方法通过 @Secured("ROLE_UPDATE") 进行保护。然后，如果用户未被授予 ROLE_UPDATE 权限，他们将无法调用任何“写入”方法，因此将被限制为只能调用“读取”方法。