Buenas, estoy teniendo un problema con la securización de mi API, tengo todo montado, un login que me retorna un token el cual paso por headers y una serie de clases que me autorizan la entrada gracias a ese token, pero quiero ir más alla y ciertos metodos solo los quiero autorizados ademas del token para un tipo de rol (admin) pero por más que lo intento no consigo nada.
Lo primero que hago es anotar mi api con hasrole
@PreAuthorize("hasRole('ROLE_ADMIN')")
@RequestMapping(value = "/categorias", method = RequestMethod.GET)
public List<TmCategorias> getAllCategories() {
return (List<TmCategorias>) service.getCategorias();
}
Y luego valido el token
private UsernamePasswordAuthenticationToken getAuthentication(HttpServletRequest request) {
String token = request.getHeader(Constants.HEADER_AUTHORIZACION_KEY);
if (token != null) {
// Se procesa el token y se recupera el usuario.
Claims user = Jwts.parser()
.setSigningKey(Constants.SUPER_SECRET_KEY)
.parseClaimsJws(token.replace(Constants.TOKEN_BEARER_PREFIX, ""))
.getBody();
UserToken userToken= new UserToken();
userToken.setCorreo(user.getId());
userToken.setUsuario(user.getSubject());
userToken.setRole((String) user.get("role"));
List<GrantedAuthority> grantedAuths = new ArrayList<GrantedAuthority>();
grantedAuths.add(new SimpleGrantedAuthority(userToken.getRole()));
if (user != null) {
return new UsernamePasswordAuthenticationToken(userToken, null, grantedAuths);
}
return null;
}
return null;
}
¿Qué me falta? ya que el acceso sin token si me lo frena pero por role no