Hola estoy intentando hace un poco mas automática la manera de proteger los endpoint de mi app, y lo hago creando una clase Entity Endpoint y persistiéndolos en un la DB. Esta clase tiene una relación de muchos a muchos con los Roles, es decir, que un endpoint puede tener varios roles y cada role puede tener muchos endpoints asignados. Lo que estoy haciendo en la clase SpringSecurityConfig es primero obtener todos los endpoints con el método findAll del repo y filtrarlos por su role, si tiene asignado el role USER es permitido para todos y si tiene ADMIN se hace privado.
Inserto código de come le asigno los roles:
@Transactional
@Override
public Endpoint create(Endpoint endpoint) {
Optional<Role> optionalRoleAdmin = roleRepository.findByName("ADMIN");
Set<Role> roles = new HashSet<>();
optionalRoleAdmin.ifPresent(roles::add);
if(endpoint.isRoleUser()){
Optional<Role> optionalRoleUser = roleRepository.findByName("USER");
optionalRoleUser.ifPresent(roles::add);
}
endpoint.setRoles(roles);
return enpointRepository.save(endpoint);
}
De esa manera siempre que creo un endpoint va a ser con role ADMIN y si yo se lo asigno, va a ser para USER.
Después el código por el cual filtro los endpoints y creo dos listas, uno que son publicos y otros privados.
Inserto código del SecurityFilterChain:
@SuppressWarnings("deprecation")
@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception{
List<Endpoint> publicEndpoints = enpointService.findAll().stream()
.filter(endpoint -> endpoint.getRoles().stream()
.anyMatch(role -> role.getName().equals("USER")))
.collect(Collectors.toList());
List<Endpoint> privateEndpoints = enpointService.findAll().stream()
.filter(endpoint -> endpoint.getRoles().stream()
.anyMatch(role -> role.getName().equals("ADMIN")))
.collect(Collectors.toList());
http.authorizeRequests((auth) -> {
for(Endpoint endpoint : publicEndpoints){
auth.requestMatchers(endpoint.getPath()).permitAll();
}
for(Endpoint endpoint : privateEndpoints){
auth.requestMatchers(endpoint.getPath()).hasRole("ADMIN");
}
auth.anyRequest().authenticated();
})
// agregamos filtro de autenticación
.addFilter(new JwtAuthenticationFilter(authenticationManager()))
// agregamos filtro de validación
.addFilter(new JwtValidationFilter(authenticationManager()))
.csrf(config -> config.disable()) // desabilita csrf
// agregamos los cors a Spring Security
.cors(cors -> cors.configurationSource(corsConfigurationSource()))
// determina una sesion sin estado, es decir, no vamos a guardar la sesion en memoria
.sessionManagement(managmanet -> managmanet.sessionCreationPolicy(SessionCreationPolicy.STATELESS));
return http.build();
}
Ya se que esas listas irían mejor en el service de endpoint, pero bueno es todo de prube.
El problema es que no se porque cuando creo los endpoints con su ruta esta todo bien y me los crea perfecto pero despues a la hora de utilizarlos son todos privados, es decir, todos son para usuarios ADMIN, que dicho sea de paso se autentican con JWT.
Dejo tmabién la clase entity Endpoint:
@Getter
@Setter
@NoArgsConstructor
@AllArgsConstructor
@Builder
@Entity
@Table(name = "endpoints")
public class Endpoint {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
@ExistByPath
@Column(unique = true)
private String path;
@JsonIgnoreProperties({"endpoints", "handler", "hibernateLazyInitializer"})
@ManyToMany(fetch = FetchType.EAGER)
@JoinTable(
name = "role_endpoint",
joinColumns = @JoinColumn(name = "enpoint_id"),
inverseJoinColumns = @JoinColumn(name = "role_id"),
uniqueConstraints = {@UniqueConstraint(columnNames = {"enpoint_id", "role_id"})}
)
private Set<Role> roles = new HashSet<>();
@Transient
@JsonProperty(access = JsonProperty.Access.WRITE_ONLY)
private boolean roleUser;
}