Spring Security 권한 설정

Question

“/board” 엔드포인트에 대한 권한을 설정하려 하는데, 전체 board를 조회하는 Get 메서드는 permitAll 권한을 주려 하고 나머지 메서드(Post, Delete 등)은 hasRole(“USER”) 권한을 주려고 합니다이때 .anMatchers(HttpMethod.GET, “/board”).hasRole(“USER”).anMatchers(“/board”).permitAll()과 같이 코드를 작성하면 같은 엔드포인트를 가지더라도 Get 메서드에 한해서는 permitAll이 아니라 USER 권한 적용이 제대로 되나요?

kenu,전독시 · Answer

네, 제공된 코드 예제에 따르면, 같은 엔드포인트인 /board에 대해 다른 HTTP 메서드에 대한 권한 설정이 가능합니다. 즉, GET 메서드에 대해 permitAll 권한을 적용하고, POST, DELETE 등의 다른 메서드에 대해 hasRole("USER") 권한을 적용할 수 있습니다.Spring Security에서는 권한 설정을 위해 authorizeHttpRequests 메서드를 사용하며, 이 메서드 내에서 requestMatchers 또는 antMatchers를 사용하여 특정 URL 패턴에 대한 권한 규칙을 정의할 수 있습니다. 각 규칙은 선언된 순서대로 고려되며, 첫 번째로 일치하는 규칙이 적용됩니다. 따라서, 먼저 선언된 permitAll 규칙이 먼저 적용되고, 그 다음에 선언된 hasRole("USER") 규칙이 적용됩니다. 이는 같은 엔드포인트에 대해 다른 HTTP 메서드에 대한 권한 설정이 가능하다는 것을 의미합니다.예를 들어, 다음과 같이 설정할 수 있습니다:```javahttp .authorizeHttpRequests(authorize -> authorize .antMatchers(HttpMethod.GET, "/board").permitAll() .antMatchers(HttpMethod.POST, "/board").hasRole("USER") .antMatchers(HttpMethod.DELETE, "/board").hasRole("USER") // 다른 메서드에 대한 권한 설정도 여기에 추가할 수 있습니다. );```이 설정에 따르면, GET 메서드로 /board 엔드포인트에 접근하는 모든 사용자에게 접근 권한이 부여되며, POST 또는 DELETE 메서드로 /board 엔드포인트에 접근하려는 사용자는 USER 권한을 가지고 있어야 합니다. 이렇게 하면, 같은 엔드포인트에 대해 다른 HTTP 메서드에 대한 권한 설정이 가능하게 됩니다.Citations:[1] https://stackoverflow.com/questions/28907030/spring-security-authorize-request-for-certain-url-http-method-using-httpsecu[2] https://docs.spring.io/spring-security/reference/servlet/authorization/authorize-http-requests.html[3] https://www.baeldung.com/spring-security-expressions[4] https://docs.spring.io/spring-security/site/docs/4.2.x/reference/html/el-access.html[5] https://www.baeldung.com/spring-security-configuring-urls[6] https://www.marcobehler.com/guides/spring-security[7] https://tutorialboy.medium.com/the-summary-of-spring-security-authorization-bypass-on-java-44691a7a38b1[8] https://reflectoring.io/spring-security/[9] https://files.gotocon.com/uploads/slides/conference_4/145/original/Spring-Security-Layers-of-defense.pdf[10] https://developer.okta.com/blog/2019/06/20/spring-preauthorizefrom: https://www.phind.com/search?cache=cr63ecbrgk3lxcxyk1iafads

Spring Security 권한 설정

1개의 답변

Q&A 목록