Primero de todo decir que estoy empezando con SpringBoot.
Estoy utilizando las dependecias:
- JPA
- WEB
- MySQL
- Security
Estoy haciendo una API Rest e integrando Basic Auth. Se que NoOpPasswordEncoder está deprecated, pero como he dicho estoy empezando.
Mi problema es que a los endpoints que se suponen que deberían ser accesibles con Auth Basic y si hago una request normal a ese endpoint me devuelve la información. Pero no debería ser así, ya que le estoy diciendo que para ese endpoint solo puede acceder el ADMIN o el USER.
Hago las request mediante POSTMAN.
Sin Auth Basic:
GET localhost:8080/api/teacher/findAll
-> Devuelve info. Bien.
GET localhost:8080/api/teacher/admin/findAll
-> Devuelve info. Mal: Debería decirme que no se puede acceder porque necesitaría user y passsword.
GET localhost:8080/api/teacher/user/findAll
-> Develve info. Mal: Debería decirme que no se puede acceder porque necesitaría user y passsword.
Este es mi código y ante todo gracias por la ayuda que podais aportar.
Controller:
@RestController
@RequestMapping("/api")
public class ProfesorController {
@Autowired
IProfesorService profesorService;
@GetMapping("/teacher/findAll")
public ResponseEntity<List<Profesor>> listAllProfesores() {
List<Profesor> profesores = profesorService.findAllProfesor();
if (profesores.isEmpty()) {
return new ResponseEntity<List<Profesor>>(HttpStatus.NO_CONTENT);
}
return new ResponseEntity<List<Profesor>>(profesores, HttpStatus.OK);
}
@GetMapping("/teacher/admin/findAll")
public ResponseEntity<List<Profesor>> listAllProfesoresAdmin() {
List<Profesor> profesores = profesorService.findAllProfesor();
if (profesores.isEmpty()) {
return new ResponseEntity<List<Profesor>>(HttpStatus.NO_CONTENT);
}
return new ResponseEntity<List<Profesor>>(profesores, HttpStatus.OK);
}
@GetMapping("/teacher/user/findAll")
public ResponseEntity<List<Profesor>> listAllProfesoresUser() {
List<Profesor> profesores = profesorService.findAllProfesor();
if (profesores.isEmpty()) {
return new ResponseEntity<List<Profesor>>(HttpStatus.NO_CONTENT);
}
return new ResponseEntity<List<Profesor>>(profesores, HttpStatus.OK);
}
}
SecurityConfig:
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
public void configureGlobalSecurity(AuthenticationManagerBuilder auth) throws Exception {
auth.inMemoryAuthentication().withUser("user1").password("password1").roles("ADMIN");
auth.inMemoryAuthentication().withUser("user2").password("password2").roles("USER");
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable().authorizeRequests()
.antMatchers("/teacher/findAll").permitAll()
.antMatchers("/teacher/admin/findAll").hasRole("ADMIN")
.antMatchers("/teacher/user/findAll").hasRole("USER")
.antMatchers("*/create/**").hasRole("ADMIN")
.and().httpBasic();
}
@SuppressWarnings("deprecation")
@Bean
public static NoOpPasswordEncoder passwordEncoder() {
return (NoOpPasswordEncoder) NoOpPasswordEncoder.getInstance();
}
}