0

Primero de todo decir que estoy empezando con SpringBoot.

Estoy utilizando las dependecias:

  • JPA
  • WEB
  • MySQL
  • Security

Estoy haciendo una API Rest e integrando Basic Auth. Se que NoOpPasswordEncoder está deprecated, pero como he dicho estoy empezando.

Mi problema es que a los endpoints que se suponen que deberían ser accesibles con Auth Basic y si hago una request normal a ese endpoint me devuelve la información. Pero no debería ser así, ya que le estoy diciendo que para ese endpoint solo puede acceder el ADMIN o el USER.

Hago las request mediante POSTMAN.

Sin Auth Basic: GET localhost:8080/api/teacher/findAll -> Devuelve info. Bien.

GET localhost:8080/api/teacher/admin/findAll -> Devuelve info. Mal: Debería decirme que no se puede acceder porque necesitaría user y passsword.

GET localhost:8080/api/teacher/user/findAll -> Develve info. Mal: Debería decirme que no se puede acceder porque necesitaría user y passsword.

Este es mi código y ante todo gracias por la ayuda que podais aportar.

Controller:

@RestController
@RequestMapping("/api")
public class ProfesorController {

    @Autowired
    IProfesorService profesorService;

    @GetMapping("/teacher/findAll")
    public ResponseEntity<List<Profesor>> listAllProfesores() {
        List<Profesor> profesores = profesorService.findAllProfesor();
        if (profesores.isEmpty()) {
            return new ResponseEntity<List<Profesor>>(HttpStatus.NO_CONTENT);
        }
        return new ResponseEntity<List<Profesor>>(profesores, HttpStatus.OK);
    }

    @GetMapping("/teacher/admin/findAll")
    public ResponseEntity<List<Profesor>> listAllProfesoresAdmin() {
        List<Profesor> profesores = profesorService.findAllProfesor();
        if (profesores.isEmpty()) {
            return new ResponseEntity<List<Profesor>>(HttpStatus.NO_CONTENT);
        }
        return new ResponseEntity<List<Profesor>>(profesores, HttpStatus.OK);
    }

    @GetMapping("/teacher/user/findAll")
    public ResponseEntity<List<Profesor>> listAllProfesoresUser() {
        List<Profesor> profesores = profesorService.findAllProfesor();
        if (profesores.isEmpty()) {
            return new ResponseEntity<List<Profesor>>(HttpStatus.NO_CONTENT);
        }
        return new ResponseEntity<List<Profesor>>(profesores, HttpStatus.OK);
    }
}

SecurityConfig:

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    public void configureGlobalSecurity(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().withUser("user1").password("password1").roles("ADMIN");
        auth.inMemoryAuthentication().withUser("user2").password("password2").roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable().authorizeRequests()
        .antMatchers("/teacher/findAll").permitAll()
        .antMatchers("/teacher/admin/findAll").hasRole("ADMIN")
        .antMatchers("/teacher/user/findAll").hasRole("USER")
        .antMatchers("*/create/**").hasRole("ADMIN")
        .and().httpBasic();
    }

    @SuppressWarnings("deprecation")
    @Bean
    public static NoOpPasswordEncoder passwordEncoder() {
        return (NoOpPasswordEncoder) NoOpPasswordEncoder.getInstance();
    }
}

1 respuesta 1

0

Gracias a iokerhe por la ayuda.

El error está en la configuracion de HttpSecurity.

iokerhe:

"No estás poniendo bien las reglas de seguridad. Las URIs no empiezan por "/api". En tu controlador, en la clase, tienes esta anotación: @RequestMapping("/api") Eso significa que todo endpoint que contenga ese controlador va a responder a través de "/api/loquesea". Como no estás poniendo ese inicio en las reglas de seguridad, y no has cerrado el resto, te las pasa siempre."

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {


    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().withUser("user").password("user").roles("USER")
        .and().withUser("admin").password("admin").roles("ADMIN");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable().authorizeRequests()
        .antMatchers("/api/teacher/findAll").permitAll()
        .antMatchers("/api/teacher/admin/findAll").hasRole("ADMIN")
        .antMatchers("/api/teacher/user/findAll").hasRole("USER")
        .antMatchers("*/create/**").hasRole("ADMIN")
        .and().httpBasic();
    }

    @SuppressWarnings("deprecation")
    @Bean
    public static NoOpPasswordEncoder passwordEncoder() {
        return (NoOpPasswordEncoder) NoOpPasswordEncoder.getInstance();
    }
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.