java - 如何使用 Jhipster 限制基于角色的 Api 访问

Question

我正在做一个 jhipster 项目。如果我有三个角色，比如 A、B 和 C，我想将特定 API 的访问限制为仅 A 和 B。我如何以这种方式管理 Api 的安全性其他用户角色将无法访问它？

Answer 1

根据您使用的 JHipster 应用程序类型，您需要的文件称为 WebSecurityConfiguration(对于单体)或 MicroserviceSecurityConfiguration(对于微服务应用程序)。

在那里，在 configure 方法中，您将找到默认行

.antMatchers("/api/**").authenticated()

这意味着，您只需要通过身份验证即可访问/api 前缀后面的任何 url。

要应用一些基于角色的自定义规则，您可以添加一些

.antMatchers("/api/my-url/").hasRole("A")

在提到的行之前，或类似的方法，如 hasAnyRole、hasAuthority 或 access()，用于更复杂的语句

作为替代方案，您可以在具体方法上使用 @Secured 或 @PreAuthorize 注释，以获得更细粒度的访问控制