如何默认拒绝访问所有URL?

默认情况下,您可以使用以下命令拒绝所有请求: .anyRequest().denyAll() 显式地允许 .hasRole

春天的 Expression-Based Access Control 有一个 denyAll 表达式的计算结果始终为 false 是的。

所以你能做的就是用这个 忠诚的 方法拒绝访问所有内容,然后可能允许通过 hasRole 以下内容:

http.authorizeRequests().antMatchers("/admin/**").access("hasRole('ADMIN')").antMatchers("/**").denyAll();

例如,这将允许具有管理员权限的用户访问以 /admin 是的。然后它将拒绝访问所有其他页面。注意顺序很重要 .antMatchers("/**").denyAll() 第一 ,它会否认 全部的 访问并忽略表达式的其余部分。

或者,你可以使用 permitAll() 对于特定的url模式:

http.authorizeRequests().antMatchers("/users/**").permitAll().antMatchers("/**").denyAll();

只需注意,您可能还需要允许访问某些登录方式,以便系统允许某人使用特定角色登录,以便将其组合在一起,并允许所有人尝试登录,只有管理员用户可以访问管理页并拒绝所有其他人,然后类似于:

http.authorizeRequests().antMatchers("/login").permitAll().antMatchers("/admin/**").access("hasRole('ADMIN')").antMatchers("/**").denyAll();

anyRequest().denyAll() 默认情况下拒绝所有请求 .hasRole 显式允许请求