java - Oauth 保护的休息 API 无需持有者 token 即可工作

Question

Rest 端点受 OAuth 保护，但由于某种原因，我可以在没有 token 的情况下访问 /users/user。请让我知道缺少什么。

在我的资源类中，我提到了以下配置来保护端点。

@Override
    public void configure(HttpSecurity http) throws Exception {
        http.
                anonymous().disable()
                .authorizeRequests()
                .antMatchers("/users/**")
                .access("hasRole('ADMIN')")
                .and()
                .exceptionHandling()
                .accessDeniedHandler(new OAuth2AccessDeniedHandler());
    }

Answer 1

也许需要更多信息，但试试这个:

@Override public void configure(HttpSecurity http) throws Exception { 
   http.authorizeRequests()
   .antMatchers("/users*//**").access("hasRole('ADMIN')")
   .and().exceptionHandling()
   .accessDeniedHandler(new OAuth2AccessDeniedHandler()); 
}

or original pattern "/users/**"