Spring Security Kotlin 配置自 Spring Security 5.3 起可用。 它允许用户使用本机 Kotlin DSL 配置 Spring Security。

Spring Security 提供了一个示例应用程序来演示 Spring Security Kotlin 配置的使用。

Spring Security 提供了一个示例应用程序来演示 Spring Security Kotlin 配置的使用。

Http安全

Spring Security 如何知道我们要要求所有用户都进行身份验证？ Spring Security 如何知道我们要支持基于表单的身份验证？ 有一个配置类（称为 ）正在后台调用。 它配置了以下默认实现：SecurityFilterChain

import org.springframework.security.config.annotation.web.invoke

@Bean
open fun filterChain(http: HttpSecurity): SecurityFilterChain {
    http {
        authorizeHttpRequests {
            authorize(anyRequest, authenticated)
        }
        formLogin { }
        httpBasic { }
    }
    return http.build()
}
请确保导入该函数以在类中启用 Kotlin DSL，因为 IDE 不会始终自动导入该方法，从而导致编译问题。org.springframework.security.config.annotation.web.invoke

默认配置（如前面的清单所示）：

  • 确保对应用程序的任何请求都需要对用户进行身份验证

  • 允许用户使用基于表单的登录进行身份验证

  • 允许用户使用 HTTP 基本身份验证进行身份验证

请注意，此配置与 XML 命名空间配置并行：

<http>
	<intercept-url pattern="/**" access="authenticated"/>
	<form-login />
	<http-basic />
</http>
请确保导入该函数以在类中启用 Kotlin DSL，因为 IDE 不会始终自动导入该方法，从而导致编译问题。org.springframework.security.config.annotation.web.invoke

多个 HttpSecurity 实例

我们可以配置多个实例，就像我们可以有多个块一样。 关键是注册多个 s。 以下示例对以 ： 开头的 URL 具有不同的配置：HttpSecurity<http>SecurityFilterChain@Bean/api/

import org.springframework.security.config.annotation.web.invoke

@Configuration
@EnableWebSecurity
class MultiHttpSecurityConfig {
    @Bean                                                            (1)
    public fun userDetailsService(): UserDetailsService {
        val users: User.UserBuilder = User.withDefaultPasswordEncoder()
        val manager = InMemoryUserDetailsManager()
        manager.createUser(users.username("user").password("password").roles("USER").build())
        manager.createUser(users.username("admin").password("password").roles("USER","ADMIN").build())
        return manager
    }

    @Order(1)                                                        (2)
    @Bean
    open fun apiFilterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            securityMatcher("/api/**")                               (3)
            authorizeHttpRequests {
                authorize(anyRequest, hasRole("ADMIN"))
            }
            httpBasic { }
        }
        return http.build()
    }

    @Bean                                                            (4)
    open fun formLoginFilterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            authorizeHttpRequests {
                authorize(anyRequest, authenticated)
            }
            formLogin { }
        }
        return http.build()
    }
}
1 像往常一样配置身份验证。
2 创建一个包含的实例，以指定应首先考虑哪个实例。SecurityFilterChain@OrderSecurityFilterChain
3 声明这仅适用于以http.securityMatcherHttpSecurity/api/
4 创建 的另一个实例。 如果 URL 不以 开头，则使用此配置。 此配置被视为 after ，因为它有一个 after 值（没有默认值为 last）。SecurityFilterChain/api/apiFilterChain@Order1@Order
1 像往常一样配置身份验证。
2 创建一个包含的实例，以指定应首先考虑哪个实例。SecurityFilterChain@OrderSecurityFilterChain
3 声明这仅适用于以http.securityMatcherHttpSecurity/api/
4 创建 的另一个实例。 如果 URL 不以 开头，则使用此配置。 此配置被视为 after ，因为它有一个 after 值（没有默认值为 last）。SecurityFilterChain/api/apiFilterChain@Order1@Order