0

Tengo un problema a la hora de cargar imagenes desde el FrontEnd, en las siguientes lineas de codigo:

<img (click)="abrirModal(cliente)" *ngIf="cliente?.foto" src="http://localhost:8080/api/uploads/img/{{cliente.foto}}" alt="{{cliente.foto}}" class="img-thumbnail rounded" style="width: 64px; cursor: pointer;">
              <img (click)="abrirModal(cliente)" *ngIf="!cliente?.foto" src="http://localhost:8080/images/no-user.png" alt="sin-foto" class="img-thumbnail rounded" style="width: 64px; cursor: pointer;">

Revisando lo que sucede me di cuenta que .anyRequest().authenticated() en mi configuración me solicita autenticación para mostrar las imagenes (solo las imagenes, ya que el resto del contenido que solicito ya es validado en el requestMatchers).

@Bean
    SecurityFilterChain filterChain(HttpSecurity http, AuthenticationManager authManager) throws Exception {

        JwtAuthenticationFilter jwtAuthenticationFilter = new JwtAuthenticationFilter();
        jwtAuthenticationFilter.setAuthenticationManager(authManager);
        jwtAuthenticationFilter.setFilterProcessesUrl("/login");

        return http
                .cors()
                .and()
                .csrf().disable()
                .authorizeHttpRequests()
                .requestMatchers("api/**")
                .authenticated()
                .anyRequest()
                .authenticated()
                .and()
                .exceptionHandling()
                .authenticationEntryPoint(jwtAuthenticationEntryPoint)
                .and()
                .httpBasic()
                .and()
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .addFilter(jwtAuthenticationFilter)
                .addFilterBefore(jwtAuthorizationFilter, UsernamePasswordAuthenticationFilter.class)
                .build();
    }

yo desde el frontend envio mi bearer token para validar, por eso no tengo problema con la informacion solicitada en las direcciones api/**, pero no se como hacerlo para las direcciones que pido en el html. Espero me puedan ayudar! estare atento y muchas gracias!

PD: no coloco permitAll() en .anyRequest().authenticated() ya que cualquier persona que tenga o encuentra la Url sin estar autenticado puede verla. Claro colocando eso ya me funcionaba perfectamente.

1
  • lo que pasa es que solamente le estas dando acceso a tu api y mas no a la imagen , tienes que asignar a tus imagenes tbm un permiso all Commented el 21 mar. 2023 a las 16:12

1 respuesta 1

0

A partir de Spring Security 5.7 puedes agregar un Bean WebSecurityCustomizer, que es una interfaz funcional para configurar el filter chain que ya definiste, de la siguiente forma:

    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -> web.ignoring().antMatchers("/images/**");
    }
    

Esto podría estar en la misma clase donde defines filterChain.

Puedes leer más en el siguiente artículo

Actualización A partir de Spring Security 6 (que viene con Spring Boot 3), como bien acota @PabloLozano, no se usa más antMatchers sino requestMatchers, La solución anterior(que sirve para Spring Boot 2.7), quedaría de la siguiente forma para Spring Security 6:

    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -> web.ignoring().requestMatchers("/images/**");
    }

4
  • 2
    Si no recuerdo mal, antMatchers está marcado como Deprecated, ahora (Spring Boot 3) se ha de usar requestMatchers Commented el 21 mar. 2023 a las 16:38
  • Lectura recomendada: stackoverflow.com/questions/74609057/…, saludos. Commented el 21 mar. 2023 a las 17:35
  • @PabloLozano, más que deprecado es undefined para Spring Security 6 (que es lo que viene con Spring Boot 3. La respuesta sirve para Spring Boot 2.7 y superior. Veo que en el código de la pregunta se usa requestMatchers, así que actualizo la respuesta. Muy buena observación! Commented el 21 mar. 2023 a las 17:36
  • @PabloLozano, Gracias y funciona, pero aun asi es como un permit all, fuera de mi aplicacion puedo colocar el enlace a la imagen que previamente coloque y accesde sin ningun problema. Esa es la capa de proteccion que quiero cubrir Commented el 21 mar. 2023 a las 17:51

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.